23、4 日志审计

以下操作是需要在所有:登录机器上做的

 mkdir /usr/local/records

 chmod 777 !$

 chmod +t !$

 vi /etc/profile //添加

if [ ! -d  /usr/local/records/${LOGNAME} ]

then

mkdir -p /usr/local/records/${LOGNAME}

chmod 300 /usr/local/records/${LOGNAME}

fi

export HISTORY_FILE="/usr/local/records/${LOGNAME}/bash_history"

export PROMPT_COMMAND='{ date "+%Y-%m-%d %T ##### $(who am i |awk "{print \$1\" \"\$2\" \"\$5}") #### $(history 1 | { read x cmd; echo "$cmd"; })"; } >>$HISTORY_FILE'

操作命令记录在了 /usr/local/records/各个相应用户名称下，如root用户在/usr/local/records/root/bash_history中

重新添加用户lisi

useradd lisi

passwd lisi

使用之前的zhangsan用户通过ssh登录

ssh lisi@192.168.179.128

使用一些命令如

ls pwd df -h

之后再查看128上/usr/local/records/，出现lisi相关记录

/usr/local/records/lisi/bash_history中的内容即为刚才ssh登录后所使用过的命令

 

转载于:https://my.oschina.net/u/3867322/blog/2966929