LINUX下用户操作记录审计-history

 export HISTTIMEFORMAT='%F %T'  history

通常，我们运维管理人员需要知道一台服务器上有哪些用户登录过，在服务器上执行了哪些命令，干了哪些事情，这就要求记录服务器上所用登录用户的操作信息，这对于安全维护来说很有必要。废话不多说了，下面直接记录做法：

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113

1）查看及管理当前登录用户 使用w命令查看当前登录用户正在使用的进程信息，w命令用于显示已经登录系统的用户的名称，以及它们正在做的事。该命令所使用的信息来源于 /var/run/utmp 文件。w命令输出的信息包括： -> 用户名称 -> 用户的机器名称或 tty 号 -> 远程主机地址 -> 用户登录系统的时间 -> 空闲时间（作用不大） -> 附加到 tty （终端）的进程所用的时间（JCPU时间） -> 当前进程所用时间（PCPU时间） -> 用户当前正在使用的命令    [root@ test ~] # w 13:54:14 up 2 days, 2:53, 4 users , load average: 0.02, 0.02, 0.00 USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT root tty1 - Mon11 3:44m 0.11s 0.06s - bash test pts /0 172.16.255.202 10:11 1:48m 0.11s 0.03s vim userinfo.text nanli pts /3 172.16.255.196 12:01 1:52m 0.00s 0.00s - bash work pts /4 172.116.55.13 12:08 0.00s 0.02s 0.00s w    此外，可以使用 "who am i" 查看使用该命令的用户及进程，使用 who 查看所有登录用户进程信息，这些查看命令大同小异；    2、使用pkill强制退出登录的用户    使用pkill可以结束当前登录用户的进程，从而强制退出用户登录，具体使用可以结合w命令； -> 使用w查看当前登录的用户，注意TTY所示登录进程终端号 -> 使用 "pkill –9 -t TTY终端号" 结束该进程所对应用户登录(可根据FROM的IP地址或主机号来判断） [root@ test ~] # pkill -9 pts/4 [root@ test ~] # w 13:59:23 up 2 days, 2:56, 4 users , load average: 0.02, 0.02, 0.00 USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT root tty1 - Mon11 3:44m 0.11s 0.06s - bash test pts /0 172.16.255.202 10:11 1:48m 0.11s 0.03s vim userinfo.text    2）查看所有登录用户的操作历史 在Linux系统的环境下，不管是root用户还是其它的用户只有登陆系统后用进入操作我们都可以通过命令 history 来查看历史记录。可是假如一台服务器多人登陆，一天因为某人误操作了删除 了重要的数据。这时候通过查看历史记录（命令： history ）是没有什么意义了（因为 history 只针对登录用户下执行有效，即使root用户也无法得到其它用户histotry历史）。那有没有什么 办法实现通过记录登陆后的IP地址和某用户名所操作的历史记录呢？答案肯定是有的！    通过在 /etc/profile 文件底部添加以下代码就可以实现： [root@ test ~] # cat /etc/profile ...... #记录每个用户的操作信息 export PS1= '[\u@\h \w]# ' history USER_IP=` who -u am i 2> /dev/null | awk '{print $NF}' | sed -e 's/[()]//g' ` if [ "$USER_IP" = "" ] then USER_IP=` hostname ` fi if [ ! -d /opt/history ] then mkdir /opt/history chmod 777 /opt/history fi if [ ! -d /opt/history/ ${LOGNAME} ] then mkdir /opt/history/ ${LOGNAME} chmod 300 /opt/history/ ${LOGNAME} fi export HISTSIZE=4096 DT=` date + "%Y%m%d_%H%M%S" ` export HISTFILE= "/opt/history/${LOGNAME}/${USER_IP} history.$DT" chmod 600 /opt/history/${LOGNAME}/*history* 2>/dev/null 或者&&    复制代码： history USER=`whoami` USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'` if [ "$USER_IP" = "" ]; then USER_IP=`hostname` fi if [ ! -d /var/log/history ]; then mkdir /var/log/history chmod 777 /var/log/history fi if [ ! -d /var/log/history/${LOGNAME} ]; then mkdir /var/log/history/${LOGNAME} chmod 300 /var/log/history/${LOGNAME} fi export HISTSIZE=4096 DT=`date +"%Y%m%d_%H:%M:%S"` export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT" chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null ####wangyongzhi##### IP=`awk -F"=" '/IPADDR/{print $2}' /etc/sysconfig/network-scripts/ifcfg-eth1` export PS1="[\u@$IP \w]\$ " [root@ test ~] # source /etc/profile #使得上面配置生效    上面脚本在系统的 /opt 下新建个 history 目录，记录所有登陆过系统的用户和IP地址（文件名），每当用户登录/退出会创建相应的文件，该文件保存这段用户登录时期内操作历史，可以用这个 方法来监测系统的安全性。 ------------------------------------------------------------------------------------------------------------------------------------------ 上面的显示跟默认的linux终端显示不太习惯。现在要求终端里切换路径后，只显示当前的简介路径，不显示全部路径，并且后面带上 #或$符号，那么只需要将上面的第一行 PS1参数后面的设置如下： 1）只显示当前简介路径，不显示全路径，显示 #号。注意下面在"#"符号后面空出一格，这样终端的"#"符号跟命令之间就有了一格的距离，习惯而已！ PS1= "[\u@\h \W]# " 2)只显示当前简介路径，不显示全路径，显示$号。注意下面的 "$" 符号后面空出一格。 PS1= "[\u@\h \W]\$ " 这里我在脚本选择第（1）种带 "#" 号显示（也可以两种都不选，直接将第一行PS1的设置给去掉，这样就是默认的了终端显示.线上使用的话，推荐使用这种默认的），生效后的终 端显示内容和linux默认显示的一样。即 export PS1= "[\u@\h \W]# " ------------------------------------------------------------------------------------------------------------------------------------------ 比如：使用nanli账号操作： [root@ test ~] # su - nanbo [nanbo@ test ~] # echo "hahahahah" hahahahah [nanbo@ test ~] # cd /usr/local/ [nanbo@ test local ] # ls bin etc games include lib lib64 libexec libzip man openssl sbin share src [nanbo@ test local ] # cat /etc/passwd [nanbo@ test local ] # ls /var/log/messages /var/log/messages 然后退出nanli账号，查看用户操作信息 [nanbo@ test local ] # logout [root@ test ~] # cd /opt/ [root@ test opt] # ls history rh [root@ test opt] # cd history/ [root@ test history ] # ls nanbo root [root@ test history ] # cd nanbo/ [root@ test nanbo] # ls 172.16.255.193 history .20170816_150403 [root@ test nanbo] # cat 172.16.255.193\ history.20170816_150403 #1502867049 echo "hahahahah" #1502867052 cd /usr/local/ #1502867053 ls #1502867056 cat /etc/passwd #1502867062 ls /var/log/messages

过一段时间，root操作记录也会有

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29

[root@ test ~] # cd /opt/history/ [root@ test history ] # ls nanbo root [root@ test history ] # cd root/ [root@ test root] # ll total 32K d-wx------ 2 root root 4.0K Aug 16 23:07 . drwxrwxrwx 4 root root 4.0K Aug 16 15:04 .. -rw------- 1 root root 2.4K Aug 16 16:43 192.168.1.193 history .20170816_134444 -rw------- 1 root root 1.2K Aug 16 17:05 192.168.1.193 history .20170816_150350 -rw------- 1 root root 251 Aug 16 18:43 192.168.1.202 history .20170816_184256 -rw------- 1 root root 18 Aug 16 20:54 192.168.1.213 history .20170816_205434 -rw------- 1 root root 329 Aug 16 23:07 192.168.1.213 history .20170816_210614 -rw------- 1 root root 185 Aug 16 15:24 172.29.20.24 history .20170816_150535 [root@ test root] # cat 192.168.1.193\ history.20170816_134444 #1502861816 cat /etc/profile #1502861851 ls #1502861862 vim /etc/profile #1502861881 source /etc/profile #1502861887 cd /usr/local/ #1502861894 vim /etc/profile #1502861906 source /etc/profile

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------
还有一种方案：这个方案会在每个用户退出登录 时把用户所执行的每一个命令都发送给日志守护进程rsyslogd,你也可通过配置“/etc/rsyslog.conf”进一步将日志发送给日志服务器：

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49

操作如下： 把下面内容添加到 /etc/profile 文件底部 [root@elk-node1 ~] # vim /etc/profile ........    #设置history格式 export HISTTIMEFORMAT="[%Y-%m-%d %H:%M:%S] [` who am i 2> /dev/null | \ awk '{print $NF}' | sed -e 's/[()]//g' `] "    #登录时清空当前缓存 echo "" > .bash_history    #记录shell执行的每一条命令 export PROMPT_COMMAND='\ if [ -z "$OLD_PWD" ]; then export OLD_PWD=$PWD; fi ; if [ ! -z "$LAST_CMD" ] && [ "$(history 1)" != "$LAST_CMD" ]; then logger -t ` whoami `_shell_cmd "[$OLD_PWD]$(history 1)" ; fi ; export LAST_CMD= "$(history 1)" ; export OLD_PWD=$PWD;' [root@elk-node1 ~] # sudo /etc/profile 测试： 分别使用kevin，grace账号登陆这台服务器进行一些操作。 然后发现 /var/log/message 日志文件中已经记录了这两个用户的各自操作了~ [root@elk-node2 ~] # tail -20 /var/log/messages Oct 24 14:16:04 elk-node2 root_shell_cmd: [ /root ] 321 [2016-10-24 14:16:04] [gateway] tail -100 /var/log/messages Oct 24 14:19:09 elk-node2 root_shell_cmd: [ /root ] 322 [2016-10-24 14:18:51] [gateway] vim /etc/profile Oct 24 14:19:12 elk-node2 su : (to kevin) root on pts /0 Oct 24 14:19:25 elk-node2 root_shell_cmd: [ /root ] 315 [2016-10-24 14:19:23] [gateway] tail -f /var/log/messages Oct 24 14:19:40 elk-node2 kevin_shell_cmd: [ /home/kevin ] 2 [2016-10-24 14:19:40] [gateway] echo "123456" > test Oct 24 14:19:43 elk-node2 kevin_shell_cmd: [ /home/kevin ] 3 [2016-10-24 14:19:43] [gateway] uptime Oct 24 14:19:45 elk-node2 kevin_shell_cmd: [ /home/kevin ] 4 [2016-10-24 14:19:45] [gateway] who Oct 24 14:19:47 elk-node2 kevin_shell_cmd: [ /home/kevin ] 5 [2016-10-24 14:19:47] [gateway] last Oct 24 14:19:48 elk-node2 root_shell_cmd: [ /root ] 323 [2016-10-24 14:19:12] [gateway] su - kevin Oct 24 14:19:52 elk-node2 su : (to grace) root on pts /0 Oct 24 14:20:00 elk-node2 grace_shell_cmd: [ /usr/local/src ] 2 [2016-10-24 14:20:00] [gateway] ls Oct 24 14:20:03 elk-node2 grace_shell_cmd: [ /usr/local/src ] 3 [2016-10-24 14:20:03] [gateway] date Oct 24 14:20:11 elk-node2 grace_shell_cmd: [ /usr/local/src ] 4 [2016-10-24 14:20:11] [gateway] free -m Oct 24 14:20:12 elk-node2 root_shell_cmd: [ /root ] 324 [2016-10-24 14:19:52] [gateway] su - grace Oct 24 14:20:23 elk-node2 root_shell_cmd: [ /root ] 316 [2016-10-24 14:20:18] [gateway] tail -f /etc/sudoers Oct 24 14:20:30 elk-node2 root_shell_cmd: [ /root ] 317 [2016-10-24 14:20:24] [gateway] tail -f /var/log/messages Oct 24 14:20:35 elk-node2 root_shell_cmd: [ /root ] 318 [2016-10-24 14:20:35] [gateway] tail -100 /var/log/messages Oct 24 14:20:46 elk-node2 su : (to kevin) root on pts /0 Oct 24 14:23:42 elk-node2 root_shell_cmd: [ /root ] 325 [2016-10-24 14:20:46] [gateway] su - kevin Oct 24 14:23:45 elk-node2 root_shell_cmd: [ /root ] 326 [2016-10-24 14:23:45] [gateway] cat /etc/profile

***************当你发现自己的才华撑不起野心时，就请安静下来学习吧***************