利用rsyslog 配置用户行为日志审计

在/etc/profile.d/建立一个clinet.sh文件

vim /etc/profile.d/client.sh

输入：

export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger -p local4.info ["LOCAL|`grep IPADDR /etc/sysconfig/network-scripts/ifcfg-eth0|sed 's/IPADDR=//g'`" -- "SSH|$SSH_CONNECTION $SSH_TTY" -- "USER|$USER" -- "PWD|$PWD"]: "$msg"; }'"

保存

在/etc/rsyslog.conf中添加这条

local4.*                                                /var/log/cmd_track.log

重启rsyslog服务：

/etc/init.d/rsyslog restart

完成后会在/var/log/下出现一个600权限的cmd_track.log日志