深入了解在Linux中监控用户活动的技巧！

程序员喵哥

已于 2023-12-23 08:21:57 修改

阅读量923

点赞数 18

分类专栏： Linux 文章标签： linux 运维服务器

于 2023-12-22 19:00:00 首次发布

本文链接：https://blog.csdn.net/GitHub_miao/article/details/135103291

版权

Linux 专栏收录该内容

89 篇文章 6 订阅

订阅专栏

监控用户活动是确保Linux系统安全性的重要一环。了解用户的活动可以帮助管理员检测潜在的问题，追踪系统事件，以及确保合规性。本文将详细介绍如何在Linux系统中监控用户活动，提供丰富的示例代码和解释。

使用 `who` 和 `w` 命令

who 和 w 命令可以帮助您查看当前登录的用户和他们的活动。以下是一些示例：

1 查看当前登录用户

使用 who 命令可以查看当前登录的用户：

who

2 查看用户活动和负载

w 命令不仅可以查看当前登录用户，还可以显示用户的活动情况、终端信息和系统负载：

使用 `last` 命令

last 命令用于查看系统登录记录。可以查看用户的登录历史、登录时间、IP地址等信息。

1 查看用户登录历史

last

2 查看特定用户的登录历史

如果想查看特定用户的登录历史，可以使用用户名作为参数：

last username

使用 `auditd` 审计工具

auditd 是一个高级的审计框架，可以用于监控文件访问、命令执行、系统调用等系统活动。以下是一些示例代码：

1 安装和启动 `auditd`

首先，确保 auditd 已安装并启动：

sudo apt install auditd  # 对于Debian/Ubuntu
sudo yum install audit  # 对于CentOS/RHEL
sudo systemctl start auditd

3.2 监控文件访问

要监控特定目录下的文件访问，可以使用以下命令：

auditctl -w /path/to/directory -p rwxa

这将监控指定目录下的文件读取、写入、执行和属性更改。

3 查看审计日志

审计日志存储在 /var/log/audit/audit.log 中。您可以使用以下命令查看审计日志：

cat /var/log/audit/audit.log

使用 `ps` 命令

ps 命令可以查看当前系统上运行的进程信息，包括哪些用户启动了哪些进程。

1 查看所有用户的进程

ps aux

2 查看特定用户的进程

要查看特定用户的进程，可以使用以下命令：

ps -u username

使用 `ss` 和 `netstat` 命令

ss 和 netstat 命令用于查看网络连接和端口信息，可以了解哪些用户正在与系统上的网络服务进行通信。

1 查看所有网络连接

使用 ss 命令查看所有网络连接：

ss -tuln

2 查看特定用户的网络连接

可以使用 grep 命令来筛选特定用户的网络连接，例如：

ss -tuln | grep username

Linux系统中监控用户活动示例代码

以下是一些示例代码，演示了如何在Linux系统中监控用户活动：

# 使用who查看当前登录用户
who

# 使用w查看用户活动和系统负载
w

# 使用last查看用户登录历史
last

# 查看特定用户的登录历史
last username

# 使用auditctl监控文件访问
auditctl -w /path/to/directory -p rwxa

# 查看审计日志
cat /var/log/audit/audit.log

# 使用ps查看所有用户的进程
ps aux

# 查看特定用户的进程
ps -u username

# 使用ss查看所有网络连接
ss -tuln

# 查看特定用户的网络连接
ss -tuln | grep username

使用 `journalctl` 查看系统日志

journalctl 命令用于查看系统日志，可以了解系统活动以及用户的操作记录。以下是一些示例：

1 查看系统日志

journalctl

这将显示系统的完整日志。

2 查看特定用户的操作记录

要查看特定用户的操作记录，可以使用 grep 命令来筛选日志：

journalctl _COMM=sudo | grep username

这将显示特定用户使用 sudo 命令的记录。

使用 `auditd` 和 `ausearch` 进行高级审计

auditd 可以配置高级审计规则，以监控用户活动，如文件访问、命令执行等。ausearch 命令用于查询审计日志。以下是示例：

1 设置审计规则

配置 auditd 规则来监控用户对敏感文件的访问：

auditctl -w /path/to/sensitive/file -p rwa -k sensitive_file_access

这将监控文件的读、写和属性更改操作。

2 查询审计日志

使用 ausearch 查询审计日志来查找特定用户对敏感文件的访问：

ausearch -k sensitive_file_access -sv avc -u username

这将显示特定用户对敏感文件的访问事件。

高级的用户活动监控示例代码

以下是一些示例代码，演示了如何使用 journalctl、auditd 和 ausearch 进行更高级的用户活动监控：

# 使用journalctl查看系统日志
journalctl

# 查看特定用户的sudo操作记录
journalctl _COMM=sudo | grep username

# 设置auditd规则来监控文件访问
auditctl -w /path/to/sensitive/file -p rwa -k sensitive_file_access

# 查询审计日志以查找特定用户对敏感文件的访问
ausearch -k sensitive_file_access -sv avc -u username