sudo日志审计

sudo日志审计

由于企业内部权限管理启用了sudo权限管理，但是还是有一定的风险因素，毕竟运维、开发等各个人员技术水平、操作习惯都不相同，也会因一时失误造成误操作，从而影响系统运行

 

因此，征对sudo提权的操作，便于管理与后续维护，开启sudo日志审计功能对用户执行 sudo命令的操作行为，但又不记录其它命令的操作行为

 

一：生产环境中日志审计方案如下：

1、syslog全部操作日志审计，此种方法信息量大，不便查看

2、sudo日志配合syslog服务进行日志审计

3、堡垒机日志审计

4、bash安装监视器，记录用户使用操作

 

二：配置sudo日志审计

1、安装sudo与syslog服务

[root@centos ~]# rpm -aq sudo rsyslog

rsyslog-5.8.10-8.el6.x86_64

sudo-1.8.6p3-12.el6.x86_64

You have new mail in /var/spool/mail/root

检查是否安装两种服务，如果没有安装，就使用下面的命令进行安装

yum install sudo -y

yum install rsyslog -y

备注：Centos 5.x 为syslog，Centos 6.x 为rsyslog

 

2、配置服务

 [root@centos ~]# echo "Defaults    logfile=/var/log/sudo.log">>/etc/sudoers

3、测试sudo日志审计

建立用户拥有sudo的权限，同时使用root用户登录查看日志/var/log/sudo.log

[oldboy@centos ~]$ sudo useradd ceshi

[sudo] password for oldboy:

oldboy 不在 sudoers 文件中。此事将被报告。

[root@centos ~]# tail -1  /var/log/sudo.log

    PWD=/home/oldboy ; USER=root ; COMMAND=/usr/sbin/useradd ceshi#记录操作

 

用户管理总结：

useradd  添加用户 -g -u -c -s -d -G -M -D -e

userdel  删除用户 -r

usermod  修改用户 -g -u -c -s -d -G

groupadd 添加组

groupdel 删除组

passwd   修改密码 --stain

chage    修改密码过期时间 -l -E

su       切换用户角色 - -c

sudo     普通用户可以拥有root的权限

visudo   编辑sudo配置文件

groups

newgrp

id

w who last lastlog whoami