目的：监控登陆上linux 系统服务器的用户，所使用过的命令。

采用以下步骤配置用户命令日志审计功能：

1.创建用户审计文件存放目录和审计日志文件 ；
mkdir -p /var/log/usermonitor/
2.创建用户审计日志文件；
echo usermonitor >/var/log/usermonitor/usermonitor.log
3.将日志文件所有者赋予一个最低权限的用户；
chown nobody:nobody /var/log/usermonitor/usermonitor.log
4.给该日志文件赋予所有人的写权限；
chmod 002 /var/log/usermonitor/usermonitor.log
5.设置文件权限,使所有用户对该文件只有追加权限 ；
chattr +a /var/log/usermonitor/usermonitor.log
6.编辑vim /etc/profile文件，添加如下脚本命令；
export HISTORY_FILE=/var/log/usermonitor/usermonitor.log
export PROMPT_COMMAND='{ date "+%y-%m-%d %T ##### $(who am i |awk "{print \$1\" \"\$2\" \"\$5}") #### $(whoami) #### $(history 1 | { read x cmd; echo "$cmd"; })"; } >>$HISTORY_FILE'
7.使配置生效
source /etc/profile

审计时查看/var/log/usermonitor/usermonitor.log文件即可，它会记录登上服务器所有用户使用的命令。为了更安全，还可以将改文件打包压缩，ftp至其它本地。

转载至：https://blog.csdn.net/hwh1231/article/details/53261406