linux之添加第三方用户日志审计功能

目的：监控登陆上linux 系统服务器的用户，所使用过的命令。

采用以下步骤配置用户命令日志审计功能：

1.创建用户审计文件存放目录和审计日志文件 ；

mkdir -p /var/log/usermonitor/

2.创建用户审计日志文件；

echo usermonitor >/var/log/usermonitor/usermonitor.log

3.将日志文件所有者赋予一个最低权限的用户；

chown nobody:nobody /var/log/usermonitor/usermonitor.log

4.给该日志文件赋予所有人的写权限；

chmod 002 /var/log/usermonitor/usermonitor.log

5.设置文件权限,使所有用户对该文件只有追加权限 ；

chattr +a /var/log/usermonitor/usermonitor.log

6.编辑vim /etc/profile文件，添加如下脚本命令；

export HISTORY_FILE=/var/log/usermonitor/usermonitor.log
export PROMPT_COMMAND='{ date "+%y-%m-%d %T ##### $(who am i |awk "{print \$1\" \"\$2\" \"\$5}")  #### $(whoami)  #### $(history 1 | { read x cmd; echo "$cmd"; })"; } >>$HISTORY_FILE'

7.使配置生效

source  /etc/profile

审计时查看/var/log/usermonitor/usermonitor.log文件即可，它会记录登上服务器所有用户使用的命令。为了更安全，还可以将该文件打包压缩，ftp至其它地方。

原文链接：https://blog.csdn.net/hwh1231/article/details/53261406