liux登录日志 环境配置，实现监控所有登录用户的操作历史

admin

liux登录日志 环境配置，实现监控所有登录用户的操作历史


作为系统管理员，不可能实时去盯着谁登陆了系统，做了一些什么操作，下面主要通过一个脚本来生成所有登录用户的操作历史，从而更好的管理linux系统，看是不是有一些违规操作。
- e. V! u( ~8 f
一、查看日志文件
   1、查看/var/log/wtmp文件看是否有可以IP地址登录

" e( X  G$ k7 O" p7 g% m3 a5 Q6 U[root@it-elassearch tmp]# last -f /var/log/wtmp
devops   pts/0        172.24.21.7      Wed Oct 23 15:06   still logged in   
* }$ E4 d$ r- a2 O3 ~2 C* Ddevops   pts/0        172.24.21.7      Wed Oct  9 13:59 - 16:33  (02:33)   
' N+ q+ G5 x9 T' h1 Wdevops   pts/0        172.24.21.7      Wed Oct  9 10:15 - 11:40  (01:24)   
devops   pts/0        172.24.21.7      Tue Sep 17 10:09 - 10:44  (00:34)   
devops   pts/0        172.24.21.7      Tue Sep  3 11:00 - 11:01  (00:00)   
reboot   system boot  3.10.0-1160.24.1 Mon Jul  8 18:54 - 15:42 (106+20:48)
devops   pts/0        172.24.21.6      Mon Jul  8 18:53 - 18:53  (00:00)   
& M- `& f. O) p9 _; A4 Ndevops   pts/1        172.24.21.6      Mon Jul  8 17:05 - 17:10  (00:04)   
devops   pts/0        172.24.21.6      Mon Jul  8 16:24 - 18:14  (01:50)   
root     tty1                          Mon Jun 11 18:31 - 10:17  (15:45)   
0 \/ k& C5 f- Y3 x9 @reboot   system boot  3.10.0-693.el7.x Mon Jun 11 18:31 - 10:44  (16:13)   
reboot   system boot  3.10.0-693.el7.x Mon Jun 11 18:30 - 10:44  (16:14)   
reboot   system boot  3.10.0-693.el7.x Mon Jun 11 18:21 - 10:44  (16:23)   
* `3 E2 K! T) A$ L% N" R" z. A
wtmp begins Mon Jun 11 18:21:20 2018

/ A' h" i9 i/ p* h9 o# D( t. i


0 a' M1 c6 F1 h该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大，

) Z; Z/ ]& X) [& s增加的速度取决于系统用户登录的次数。该日志文件可以用来查看用户的登录记录，

last命令就通过访问这个文件获得这些信息，并以反序从后向前显示用户的登录记录，last也能根据用户、终端tty或时间显示相应的记录。
8 E( X& d7 s; O% C& d
$ A8 G, T- T2 S1 L7 J( S1 |
( z6 M+ ?+ X( \2 O
6 y1 S* n" `, A( o 2、查看/var/log/secure文件寻找可疑IP登陆次数

! r) l& k4 i9 \+ \cat /var/log/secure

: m# X3 q$ ^& \
7 U* i; R7 q* F* z' F* }, Y* I+ L
: g; x  R. C& I# g9 U5 z" YOct 23 15:42:01 it-elassearch crond[19394]: pam_limits(crond:session): unknown limit item 'noproc'
Oct 23 15:42:01 it-elassearch crond[19394]: pam_limits(crond:session): unknown limit item 'noproc'
Oct 23 15:42:01 it-elassearch crond[19394]: pam_limits(crond:session): unknown limit item 'noproc'
; i2 k  W2 i6 w+ }0 [0 e) |Oct 23 15:42:01 it-elassearch crond[19394]: pam_limits(crond:session): unknown limit item 'noproc'
Oct 23 15:43:01 it-elassearch crond[19404]: pam_limits(crond:session): unknown limit item 'noproc'
Oct 23 15:43:01 it-elassearch crond[19404]: pam_limits(crond:session): unknown limit item 'noproc'
. n6 @2 j7 D0 A" @4 @4 [& TOct 23 15:43:01 it-elassearch crond[19404]: pam_limits(crond:session): unknown limit item 'noproc'
8 e; s$ c: E) w; h1 mOct 23 15:43:01 it-elassearch crond[19404]: pam_limits(crond:session): unknown limit item 'noproc'
Oct 23 15:44:01 it-elassearch crond[19412]: pam_limits(crond:session): unknown limit item 'noproc'
; @/ l1 I) F) GOct 23 15:44:01 it-elassearch crond[19412]: pam_limits(crond:session): unknown limit item 'noproc'
% c: \! M4 I7 i8 ^: w4 R  W8 p/ pOct 23 15:44:01 it-elassearch crond[19412]: pam_limits(crond:session): unknown limit item 'noproc'
& V7 C+ @* u! _$ g' U- R2 o9 zOct 23 15:44:01 it-elassearch crond[19412]: pam_limits(crond:session): unknown limit item 'noproc'
You have mail in /var/spool/mail/root
- t' T5 q3 ^& T: B

$ z3 p( B' U. c. O6 k二、 脚本生成所有登录用户的操作历史

需求：记录登陆后的IP地址和某用户名所操作的历史记录

实现：

1、配置/etc/profile.d/

vim ahistory.sh

USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`

if [ "$USER_IP" = "" ];then

   USER_IP=`hostname -s`

fi

if [ ! -d /tmp/.login ];then

    mkdir /tmp/.login

    chmod -R 777 /tmp/.login

   fi

if [ ! -d /tmp/.login/${LOGNAME} ];then

    mkdir /tmp/.login/${LOGNAME}

     chmod 400 /tmp/.login/${LOGNAME}

   fi

export HISTSIZE=40960

DT=`date "+%Y-%m-%d_%H-%M-%S"`

export HISTFILE="/tmp/.login/${LOGNAME}/${USER_IP}-dbasky.$DT"

chmod 600 /tmp/.login/${LOGNAME}/*dbasky* 2>/dev/null

USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`

if [ "$USER_IP" = "" ];then

   USER_IP=`hostname -s`

   fi

if [ ! -d /tmp/.login ];then

    sudo mkdir /tmp/.login 2>/dev/null

    sudo chmod -R 777 /tmp/.login 2>/dev/null

   fi

if [ ! -d /tmp/.login/${LOGNAME} ];then

    sudo  mkdir /tmp/.login/${LOGNAME} 2>/dev/null

    sudo  chmod 300 /tmp/.login/${LOGNAME} 2>/dev/null

   fi

export HISTSIZE=4096

export HISTTIMEFORMAT="%F %T - $(whoami) "

DT=`date "+%Y-%m-%d_%H-%M-%S"`

export HISTFILE="/tmp/.login/${LOGNAME}/${USER_IP}-dbasky.$DT"

chmod 600 /tmp/.login/${LOGNAME}/*dbasky* 2>/dev/null

#clear 20days ago file

CLEAR=`date -d "20 days ago" +%F`

historyDIR=/tmp/.login

#cd $historyDIR

ls $historyDIR | grep $CLEAR |xargs rm -f

#cd ~

保存

2、生效环境变量

$ n8 a$ B; \2 u/ P

admin

二、 脚本生成所有登录用户的操作历史

( _" O* d* w1 @1 I4 L在linux系统的环境下，不管是root用户还是其它的用户只有登陆系统后用进入操作我们都可以通过命令history来查看历史记录，可是假如一台服务器多人登陆，一天因为某人误操作了删除了重要的数据。这时候通过查看历史记录（命令：history）是没有什么意义了（因为history只针对登录用户下执行有效，即使root用户也无法得到其它用户histotry历史）。那有没有什么办法实现通过记录登陆后的IP地址和某用户名所操作的历史记录呢？答案：有的。

! o1 U7 q) c9 K9 B7 b2 o5 g% e通过在/etc/profile里面加入以下代码就可以实现：
$ \7 ~& f" l1 B3 U1 }: w3 T9 ~( ~
PS1="`whoami`@`hostname`:"'[$PWD]'
* g; b0 n5 h4 j- T7 vUSER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
' e; G: ^# }0 c' B% Afi
if [ ! -d /tmp/dbasky ]
then
mkdir /tmp/dbasky
chmod 777 /tmp/dbasky
, q  B$ Y5 `4 O5 c, Ofi
if [ ! -d /tmp/dbasky/${LOGNAME} ]
then
mkdir /tmp/dbasky/${LOGNAME}
* X" t* O$ d1 ]  `3 d9 `% ichmod 300 /tmp/dbasky/${LOGNAME}
3 j, v! s# |# y1 ~fi
- i. F. a7 [0 U% g' Fexport HISTSIZE=4096
' x) m6 ^' K& w; e. VDT=`date "+%Y-%m-%d_%H:%M:%S"`
) i2 \4 |+ ^( q4 ?- gexport HISTFILE="/tmp/dbasky/${LOGNAME}/${USER_IP}-dbasky.$DT"
  \. R9 a% s  _7 schmod 600 /tmp/dbasky/${LOGNAME}/*dbasky* 2>/dev/null

——————————————————————————————————————————————————————————————————————
- @' m- O2 a. b  c0 r
# g! E7 f6 o0 d! _$ |( [

' d, \, \; Z3 Usource /etc/profile 使用脚本生效

退出用户，重新登录

8 R: f4 D8 @% A. L?面脚本在系统的/tmp新建个dbasky目录，记录所有登陆过系统的用户和IP地址（文件名），每当用户登录/退出会创建相应的文件，该文件保存这段用户登录时期内操作历史，可以用这个方法来监测系统的安全性。
1 ]9 b' ?/ P4 p- I5 \
    root@zsc6:[/tmp/dbasky/root]ls
    10.1.80.47 dbasky.2013-10-24_12:53:08
' ?9 {4 y( [7 \$ O' x! j0 a- M    root@zsc6:[/tmp/dbasky/root]cat 10.1.80.47 dbasky.2013-10-24_12:53:08

admin

使用source /etc/profile 生效。

6 Q% E- S$ G' _- u但有个问题就是每次登录的时候历史命令只有五个了。或者被清空了。