centos6配置日志外发_centos6 配置sudo命令日志审计

centos6 配置sudo命令日志审计

日志审计   sudo 命令日志审计

配置 sudo 命令日志审计

说明：所谓 sudo 命令日志审计，并不记录普通用户的普通操作，而是记录那些执行 sudo 命令的用户的操作。

项目实战：

服务器日志审计项目提出与实施权限方案实施后，权限得到了细化控制，接下来进一步实施以地所有用户日志记录方案。

通过 sudo 和 syslog(rsyslog) 配合实现对所有用户进行日志审计并将记录集中管理 (发送到中心日志服务器)、

实施后，让所有运维和开发的所有执行的 sudo 管理命令都记录可查，杜绝了内部人员的操作安全隐患

生产环境日志审记解决之案：

法 1：通过环境变量命令及 syslog 服务进行全部日志审记 (信息太大，不推荐)

法 2：sudo 配命 syslog 服务，进行日志审计 (信息较少，效果不错)

法 3：在 bash 解释器程序里嵌入一个监视器，让所有被审记的系统用户使用修改过的增加了监视器的特殊 bash 程序作为解释程序

法 4：齐治的堡垒机：商业产品

现在我们用的 sudo 日志审记，专门对使用 sudo 命令的系统用户记录其执行的命令相关信息

★centos6 系统配置日审记

1. 1. 安装 sudo 命令，syslog 服务 (centos6.4 为 rsyslog 服务)[[emailprotected]~]#rpm-aq|egrep"sudo|rsyslog"

rsyslog-5.8.10-6.el6.x86_64

sudo-1.8.6p3-7.el6.x86_64

如果没有安装则执行下面的命令安装yum install sudo rsyslog–y

2. 配置系统日志 / etc/syslog.confCentos6系统的rsyslog.conf的配置文件路径是/etc/rsyslog.conf

[[emailprotected]~]#echo"local2.debug/var/log/sudo.log">>/etc/rsyslog.conf

[[emailprotected]~]#tail-1/etc/rsyslog.conf

local2.debug/var/log/sudo.log

3. 配置 / etc/sudoers

增加配置 "Defaults         logfile=/var/log/sudo.log" 到 / etc/sudoers 中，注意：不包含引号[[emailprotected]~]#echo"Defaults    logfile=/var/log/sudo.log">>/etc/sudoers

[[emailprotected]~]#tail-1/etc/sudoers

Defaultslogfile=/var/log/sudo.log

[[emailprotected]~]#visudo-c

/etc/sudoers:parsed OK

4. 重启 syslog 内核日志记录器[[emailprotected]~]#/etc/init.d/rsyslogrestart

Shuttingdown system logger:[OK]

Startingsystem logger:[OK]

5. 测试 sudo 日志审计配置结果

用户 tom 拥有 root  ALL 权限，用户 bobo 拥有 / usr/sbin/useradd,/usr/sbin/passwd 权限[[emailprotected]~]$ sudo useradd bobo

Wetrust you have received the usuallecturefromthelocalSystem

Administrator.Itusually boils down tothese three things:

#1) Respect the privacy of others.

#2) Think before you type.

#3) With great power comes great responsibility.

.

[sudo]passwordfortom:

[[emailprotected]~]$ sudo passwd bobo

Changingpasswordforuser bobo.

Newpassword:

Retypenewpassword:

passwd:all authentication tokens updatedsuccessfully.

[[emailprotected]~]$ sudo useradd qwe

[[emailprotected]~]$ sudo passwd qwe

Changingpasswordforuser qwe.

Newpassword:

Retypenewpassword:

passwd:all authentication tokens updatedsuccessfully.

[[emailprotected]~]#cat/var/log/sudo.log

Dec2823:14:14:tom:TTY=pts/0;PWD=/home/tom;USER=root;

COMMAND=/usr/sbin/useradd bobo

Dec2823:14:21:tom:TTY=pts/0;PWD=/home/tom;USER=root;

COMMAND=/usr/bin/passwd bobo

Dec2823:23:18:tom:1incorrectpassword attempt;TTY=pts/0;PWD=/home/tom

;USER=root;COMMAND=/usr/sbin/useradd bobo

Dec2823:23:21:tom:TTY=pts/0;PWD=/home/tom;USER=root;

COMMAND=/usr/sbin/useradd bobo

Dec2823:24:11:mary:TTY=pts/0;PWD=/home/mary;USER=root;COMMAND=list

Dec2823:24:30:mary:command notallowed;TTY=pts/0;PWD=/home/mary;

USER=root;COMMAND=/usr/bin/passwd

Dec2823:24:40:mary:command notallowed;TTY=pts/0;PWD=/home/mary;

USER=root;COMMAND=/usr/bin/passwd

Dec2823:24:53:mary:command notallowed;TTY=pts/0;PWD=/home/mary;

USER=root;COMMAND=/usr/bin/passwd mary

Dec2823:25:35:mary:TTY=pts/0;PWD=/home/mary;USER=root;

COMMAND=/usr/sbin/useradd qwe

Dec2823:25:46:mary:command notallowed;TTY=pts/0;PWD=/home/mary;

USER=root;COMMAND=/usr/bin/passwd qwe

来源: http://www.bubuko.com/infodetail-2100079.html