Linux 实战篇-CentOS sudo配合rsyslog日志审计

使用命令如下：
rpm -qa| grep sudo 列出所有被安装的rpm package rpm -qa
注释：
rpm 命令详解
rpm命令是RPM软件包的管理工具。

RPM有多种基本的模式：它们是安装、查询、验证、删除等。

安装模式：rpm –i

查询模式：rpm -q

验证模式：rpm –V或 -verify

删除模式：rpm –e
yum insatll sudo -y 安装sudo包 -y 如果不使用-y安装时会提示是否安装 y or n 使用-y则直接选择y
mkdir -p 新建一个一个目录 -p 检查是否有此文件夹，没有则新建
cat /etc/redhat-release 查看centos版本
uname -r 显示系统版本
echo “local2.debug /var/log/sudo.log”>>/etc/rsyslog.conf 将想要的内容追加到文件后，对文件之前的内容不修改，只进行增添，也叫追加重定向
tail -1 显示文件的第某某行
systemctl list-unit-files 查看所有的服务的状态，后面加上|grep enabled 可以只查看开启或关闭的服务
搭建日志审计详解：
1.环境版本查看
cat /etc/redhat-release
uname -r
2.查看sudo和syslog服务，查看是否安装
rpm -qa | grep sudo
rpm -qa | grep rsyslog
注意点：centos 5.x是syslog服务，6.x是rsyslog
3.安装sudo和rsyslog服务
yum install sudo -y
yum install rsyslog -y
4.创建日志保存目录
mkdir -p /var/log/
5.将文本重定向到配置文件
echo “local2.debug /var/log/sudo.log”>>/etc/rsyslog.conf
echo “Defaults logfile=/var/log/sudo.log”>>/etc/sudoers
6.查看是否配置成功
tail -1 /etc/syslog.conf
tail -1 /etc/sudoers
7.测试日志审计配置结果
sudo useradd ddd #删除用户测试
cat /var/log/sudo.log