１、查詢系統(tǒng)是否已安裝sudo、syslog程序

建網(wǎng)站原本是網(wǎng)站策劃師、網(wǎng)絡(luò)程序員、網(wǎng)頁設(shè)計(jì)師等，應(yīng)用各種網(wǎng)絡(luò)程序開發(fā)技術(shù)和網(wǎng)頁設(shè)計(jì)技術(shù)配合操作的協(xié)同工作。創(chuàng)新互聯(lián)專業(yè)提供成都網(wǎng)站設(shè)計(jì)、成都網(wǎng)站建設(shè),網(wǎng)頁設(shè)計(jì),網(wǎng)站制作(企業(yè)站、響應(yīng)式網(wǎng)站開發(fā)、電商門戶網(wǎng)站)等服務(wù),從網(wǎng)站深度策劃、搜索引擎友好度優(yōu)化到用戶體驗(yàn)的提升,我們力求做到極致!

[root@shangke ~]# rpm -qa|egrep "sudo|syslog"
rsyslog-5.8.10-10.el6_6.x86_64
sudo-1.8.6p3-19.el6.x86_64
如果沒有安裝，則用yum安裝，yum install -y sudo syslog

2、配置/etc/sudoers

增加配置“Defaults    logfile=/var/log/sudo.log”到/etc/sudoers中

[root@shangke ~]# echo "Defaults logfile=/var/log/sudo.log" >>/etc/sudoers
[root@shangke ~]# tail -1 /etc/sudoers  ##檢查操作是否成功
Defaults logfile=/var/log/sudo.log
[root@shangke ~]# visudo -c     ##檢查sudoers文件語法
/etc/sudoers: parsed OK

3、配置系統(tǒng)日志

增加配置local2.debug到/etc/syslog.conf中（Centos5.8中）

增加配置local2.debug到/etc/rsyslog.conf中（Centos6.4中）

[root@shangke ~]# echo "local2.debug /var/log/sudo.log" >>/etc/rsyslog.conf
[root@shangke ~]# tail -1 /etc/rsyslog.conf   ##檢查配置
local2.debug /var/log/sudo.log

4、重啟syslog或rsyslog內(nèi)核日志記錄器

[root@shangke ~]# /etc/init.d/rsyslog restart  
Shutting down system logger:                               [  OK  ]
Starting system logger:                                       　[  OK  ]

5、查看日志目錄的權(quán)限

[root@shangke ~]# ll /var/log/sudo.log 
-rw------- 1 root root 1148 Jan 31 16:05 /var/log/sudo.log

6、測(cè)試sudo日志審計(jì)配置結(jié)果

[root@shangke ~]# whoami
root
[root@shangke ~]# pwd
/root
[root@shangke ~]# useradd mzq
[root@shangke ~]# vi /etc/sudoers
mzq   ALL=(ALL)    ALL
[root@shangke ~]# su - mzq
[mzq@shangke ~]$ sudo -l
Matching Defaults entries for mzq on this host:
    requiretty, !visiblepw, always_set_home, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE
    INPUTRC KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
    env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY
    LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET
    XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin, logfile=/var/log/sudo.log
User mzq may run the following commands on this host:
    (ALL) NOPASSWD: /bin/su, (ALL) /usr/bin/sudo, (ALL) ALL
[mzq@shangke ~]$ su - 
Password: 
[root@shangke ~]# cat /var/log/sudo.log 
Jan 31 16:05:27 : mzq : TTY=pts/0 ; PWD=/home/mzq ; USER=root ; COMMAND=/bin/cat
    /var/log/sudo.log
Jan 31 16:24:11 : mzq : TTY=pts/0 ; PWD=/home/mzq ; USER=root ; COMMAND=list
Jan 31 16:25:09 : mzq : TTY=pts/0 ; PWD=/home/mzq ; USER=root ; COMMAND=/bin/cat
    /var/log/sudo.log

7、記錄登錄用戶的數(shù)據(jù)
/var/log/useraudit.log文件記錄登錄用戶的時(shí)間，來源IP，以及在系統(tǒng)中運(yùn)行了什么命令。

[root@shangke ~]# vim /etc/profile
在最后添加下面內(nèi)容：export HISTORY_FILE=/var/log/useraudit.logexport PROMPT_COMMAND='{ h=`history 1`;w=`who am i`;echo -e $(date "+%Y-%m-%d %H:%M:%S") --- $w ---$h;} >> $HISTORY_FILE'然后執(zhí)行命令：
[root@shangke ~]# touch /var/log/useraudit.log
[root@shangke ~]# chmod 777 /var/log/useraudit.log
[root@shangke ~]# chattr +a /var/log/useraudit.log
[root@shangke ~]# cat /var/log/useraudit.log 
2016-01-31 16:30:16 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 15 su -
2016-01-31 16:30:18 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 16 ls
2016-01-31 16:30:22 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 17 sudo ls
2016-01-31 16:30:34 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 18 cat /var/log/sudo.log
2016-01-31 16:30:46 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 19 sudo cat /var/log/so
2016-01-31 16:30:50 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 20 sudo cat /var/log/sudo.log
2016-01-31 16:31:09 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 21 rm -f oldboy1
2016-01-31 16:31:12 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 22 sudo cat /var/log/sudo.log
2016-01-31 16:32:04 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 23 sodu cat /var/log/useraudit.log
2016-01-31 16:32:41 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 24 cd /var/log/
2016-01-31 16:32:43 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 25 ls
2016-01-31 16:33:05 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 25 ls
2016-01-31 16:33:08 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 26 cd
2016-01-31 16:33:10 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 27 ls
2016-01-31 16:33:18 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 28 rm -f oldboy2
2016-01-31 16:33:23 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 141 su - mzq
2016-01-31 16:33:40 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 142 cat /var/log/sudo.log
2016-01-31 16:33:54 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 143 cat /var/log/sudo.log|grep rm
2016-01-31 16:34:01 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 144 cat /var/log/sudo.log|grep rm -f
2016-01-31 16:34:10 --- root pts/0 2016-01-31 16:21 (10.0.0.1) --- 145 cat /var/log/sudo.log|grep "rm -f"

8、日志集中管理

1）rsync+inotify或定時(shí)任務(wù)+rsync,推到日志管理

3）日志收集解決方案scribe、Flume、logstash、stom

名稱欄目：sudo+syslog日志審計(jì)+登陸用戶操作統(tǒng)計(jì)
鏈接地址：http://www.chinadenli.net/article14/jdhjde.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供動(dòng)態(tài)網(wǎng)站、全網(wǎng)營(yíng)銷推廣、網(wǎng)站策劃、企業(yè)網(wǎng)站制作、網(wǎng)站維護(hù)、網(wǎng)站設(shè)計(jì)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)