使用ELK收集Linux所有用户的登录和操作日志

一般我们可以用history命令来查看用户的操作记录，但是这个命令不能记录是哪个用户登录操作的，也不能记录详细的操作时间，且不完整；所以误操作而造成重要的数据丢失，就很难查到是谁操作的。

在这里我们通过脚本代码来实现记录所以用户的登录操作日志
编辑/etc/profile文件，在文件末尾加入下面代码：
[root@telecom225 /]# vi /etc/profile

history
USER=`whoami`
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]; then
USER_IP=`hostname`
fi
if [ ! -d /var/log/history ]; then
mkdir /var/log/history
chmod 777 /var/log/history
fi
if [ ! -d /var/log/history/${LOGNAME} ]; then
mkdir /var/log/history/${LOGNAME}
chmod 300 /var/log/history/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date +"%Y%m%d_%H:%M:%S"`
export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"
chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null

#执行
source /etc/profile

注释： /var/log/history这是记录日志的存放位置，可以自定义。
在/var/log/history下会以每个用户为名新建一个文件夹.

以上来源于：https://www.cnblogs.com/chenjunwu/p/11527720.html

扩展：
添加filebeat 推向logstash

#此处采用的是filebeat7.7版本，其他版本写法有所区别

vi /etc/filebeat/filebeat.yml

#filebeat.prospectors:
filebeat.inputs:
- type: log
  paths:
  - /var/log/history/appdev/admin*
  tags: ["history-admin"]
  fields:
    itcase: "192.168.1.1"
    user: "admin"
   - /var/log/history/appdev/root*
  tags: ["history-root"]    #logstash 根据不同的tags推向不同的index
  fields:                           #增加自定义选项
    itcase: "192.168.1.1"  
    user: "root"
output.logstash:
  hosts: ["$IP"]

kibana展示效果：