Linux系統(tǒng)下的用戶審計(jì)方法
發(fā)布時(shí)間：2015-08-10 17:24:15 作者：佚名 
我要評(píng)論
我要評(píng)論這篇文章主要介紹了Linux系統(tǒng)下的用戶審計(jì)方法,包括基本的命令和一個(gè)記錄用戶行為的實(shí)例,需要的朋友可以參考下
創(chuàng)建審計(jì)日志目錄
復(fù)制代碼
代碼如下:mkdir -p /var/log/user_audit
創(chuàng)建用戶審計(jì)日志文件；
復(fù)制代碼
代碼如下:touch /var/log/user_audit/user_audit.log
將文件賦予低權(quán)限用戶
復(fù)制代碼
代碼如下:chown nobody:nobody /var/log/user_audit/user_audit.log
賦予所有人寫(xiě)權(quán)限
復(fù)制代碼
代碼如下:chmod 002 /var/log/user_audit/user_audit.log
賦予所有用戶追加權(quán)限
復(fù)制代碼
代碼如下:chattr +a /var/log/user_audit.log
編輯/etc/profile 增加以下內(nèi)容；
復(fù)制代碼
代碼如下:export HISTORY_FILE=/var/log/user_audit/user_audit.log
export PROMPT_COMMAND='{ date "+%y-%m-%d %T ##### $(who am i |awk "{print \$1\" \"\$2\" \"\$5}")
export PROMPT_COMMAND='{ date "+%y-%m-%d %T ##### $(who am i |awk "{print \$1\" \"\$2\" \"\$5}")
實(shí)例
多人共同使用的服務(wù)器權(quán)限確實(shí)不好管理，誤操作等造成故障，無(wú)法追究，最好的辦法就是將用戶操作實(shí)時(shí)記錄到日志，并推送到遠(yuǎn)程日志服務(wù)器上。包括（用戶登陸時(shí)間，目錄，操作命令及時(shí)間戳等)。以便事后追查。
環(huán)境：centos5.5 X86_64 2臺(tái) #備注：把兩臺(tái)主機(jī)的防火墻和selinux關(guān)閉。在進(jìn)行操作。
(一)日志服務(wù)器IP:10.0.2.164
(二)客戶端服務(wù)器IP：10.0.2.165
1.先在日志服務(wù)器10.0.2.164主機(jī)上操作：
復(fù)制代碼
代碼如下:[root@MySQL-B ~]# echo "*.info /var/log/client" >> /etc/syslog.conf
#配置日志保存文件，把該文件第一行的*.info 提出來(lái)。單獨(dú)放一行。
[root@MySQL-B ~]# service syslog restart #重啟syslog日志服務(wù)。
Shutting down kernel logger: [ OK ]
Shutting down system logger: [ OK ]
Starting system logger: [ OK ]
Starting kernel logger: [ OK ]
[root@MySQL-B ~]# vim /etc/sysconfig/syslog #接收客戶端寫(xiě)入。
#配置日志保存文件，把該文件第一行的*.info 提出來(lái)。單獨(dú)放一行。
[root@MySQL-B ~]# service syslog restart #重啟syslog日志服務(wù)。
Shutting down kernel logger: [ OK ]
Shutting down system logger: [ OK ]
Starting system logger: [ OK ]
Starting kernel logger: [ OK ]
[root@MySQL-B ~]# vim /etc/sysconfig/syslog #接收客戶端寫(xiě)入。
把SYSLOGD_OPTIONS="-m 0" 更改為：SYSLOGD_OPTIONS="-m 1 -r"
2.然后在客戶端服務(wù)器10.0.2.165主機(jī)上操作：
復(fù)制代碼
代碼如下:[root@MySQL-A ~]# vim /etc/profile #添加如下行。
export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`]"$msg"; }'
[root@MySQL-A ~]# source /etc/profile #重新手動(dòng)source更新。
export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`]"$msg"; }'
[root@MySQL-A ~]# source /etc/profile #重新手動(dòng)source更新。
2.1.客戶機(jī)修改日志服務(wù)器10.0.2.165主機(jī)上操作：
復(fù)制代碼
代碼如下:[root@MySQL-A ~]# echo "10.0.2.164 logserver" >> /etc/hosts #日志服務(wù)器地址。
[root@MySQL-A ~]# echo "*.info @logserver" >> /etc/syslog.conf
#將info日志推送到日志服務(wù)器，把該文件第一行的*.info 提出來(lái)。單獨(dú)放一行。
[root@MySQL-A ~]# /etc/init.d/syslog restart #重啟syslog日志。
Shutting down kernel logger: [ OK ]
Shutting down system logger: [ OK ]
Starting system logger: [ OK ]
Starting kernel logger: [ OK ]
[root@MySQL-A ~]# echo "*.info @logserver" >> /etc/syslog.conf
#將info日志推送到日志服務(wù)器，把該文件第一行的*.info 提出來(lái)。單獨(dú)放一行。
[root@MySQL-A ~]# /etc/init.d/syslog restart #重啟syslog日志。
Shutting down kernel logger: [ OK ]
Shutting down system logger: [ OK ]
Starting system logger: [ OK ]
Starting kernel logger: [ OK ]
3.測(cè)試，在客戶端主機(jī)上10.0.2.165主機(jī)上測(cè)試并操作：
復(fù)制代碼
代碼如下:[root@MySQL-A ~]# test
[root@MySQL-A ~]# echo "this is a test 1"
this is a test 1
[root@MySQL-A ~]# echo "this is a test 2"
this is a test 2
[root@MySQL-A ~]# echo "this is a test 3"
this is a test 3
[root@MySQL-A ~]# echo "this is a test 4"
this is a test 4
[root@MySQL-A ~]# echo "this is a test 5"
this is a test 5
[root@MySQL-A ~]# echo "this is a test 1"
this is a test 1
[root@MySQL-A ~]# echo "this is a test 2"
this is a test 2
[root@MySQL-A ~]# echo "this is a test 3"
this is a test 3
[root@MySQL-A ~]# echo "this is a test 4"
this is a test 4
[root@MySQL-A ~]# echo "this is a test 5"
this is a test 5
4.返回日志服務(wù)器10.0.2.164主機(jī)上看結(jié)果，是否記錄下來(lái)客戶端主機(jī)執(zhí)行的操作？
復(fù)制代碼
代碼如下:[root@MySQL-B ~]# cat /var/log/client
Apr 6 10:37:55 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test1"
Apr 6 10:37:59 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test2"
Apr 6 10:38:01 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test3"
Apr 6 10:38:04 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test4"
Apr 6 10:38:06 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test5"
Apr 6 10:37:55 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test1"
Apr 6 10:37:59 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test2"
Apr 6 10:38:01 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test3"
Apr 6 10:38:04 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test4"
Apr 6 10:38:06 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test5"
返回參數(shù)分別為：#操作時(shí)間 #操作IP #有效用戶 #實(shí)際登陸時(shí)間 #路徑 #使用的命令
相關(guān)文章
集成系統(tǒng)級(jí)Claw模式! Deepin 官宣發(fā)布 25.1 版本
deepin操作系統(tǒng)發(fā)布了最新的 25.1 版本更新，該版本基于 deepin 25 正式版積累的多輪內(nèi)測(cè)成果，在 AI 能力、內(nèi)核版本、桌面環(huán)境、文件管理器以及系統(tǒng)安全等方面進(jìn)行了更新2026-04-13
又一代老硬件退場(chǎng)! Linux 內(nèi)核正式放棄Intel 486 CPU
在過(guò)去的幾十年間，CPU 的架構(gòu)已經(jīng)經(jīng)歷了飛速發(fā)展，x86 系列就是其中之一，而 i486 則屬于該系列中的一個(gè)，當(dāng)前，i486 的CPU處理器已經(jīng)夠老，從 Linux 7.1 開(kāi)始將不再有對(duì)2026-04-09趕緊收藏! 全網(wǎng)最全 Linux 命令總結(jié)
我把 Linux 中最常用、最實(shí)用、最常被問(wèn)到的命令按照實(shí)際使用場(chǎng)景分類整理，方便你快速查閱和記憶，內(nèi)容覆蓋日常運(yùn)維、開(kāi)發(fā)調(diào)試、性能分析、文件處理、網(wǎng)絡(luò)、安全、系統(tǒng)管2026-04-08一分鐘內(nèi)檢查L(zhǎng)inux服務(wù)器性能? 9個(gè)性能檢測(cè)常用的基本命令
今天我們來(lái)看看Linux系統(tǒng)中用于性能監(jiān)控的一系列命令，這些命令可以快速查看機(jī)器的負(fù)載情況，詳細(xì)請(qǐng)看下文介紹2026-03-18從零基礎(chǔ)到精通! 適合高級(jí)用戶的15款Linux發(fā)行版推薦
Linux作為操作系統(tǒng)領(lǐng)域靈活性和可定制性的基石，提供了大量滿足不同用戶需求的發(fā)行版，今天分享適合高級(jí)用戶的15款Linux發(fā)行版2026-03-10開(kāi)箱即用? 這4個(gè)高手級(jí)Linux發(fā)行版遠(yuǎn)沒(méi)你想象的那么安全易用
如果你正在糾結(jié)用哪個(gè)發(fā)行版？零基礎(chǔ)新手別被“高端”“極客”“聲明式”這些詞沖昏頭腦，先用好用的，再慢慢進(jìn)階2026-03-10這幾款SSH工具真的夠用了! Linux好用的ssh工具推薦
在Linux上使用SSH，您需要安裝一個(gè)SSH客戶端，今天整理找到的8 款 SSH / 終端工具，從免費(fèi)開(kāi)源到企業(yè)級(jí)商用，從輕量化命令行到一站式工具箱，每款都做了介紹與對(duì)比，希望能2026-03-09- 在Linux系統(tǒng)下有兩種用戶，即高級(jí)用戶root，普通用戶，高級(jí)用戶root可以在系統(tǒng)中做任何事情，普通用戶僅可在Linux系統(tǒng)中做有限的事情，下面我們就來(lái)看看切換方法2026-02-28
揭秘當(dāng)前登錄用戶的身份! Linux中使用logname命令的技巧
logname命令就是這樣一個(gè)簡(jiǎn)單但強(qiáng)大的工具，它能幫助我們輕松獲取當(dāng)前登錄用戶的用戶名,今天，我們就來(lái)深入探索一下這個(gè)命令的工作原理、使用方法和最佳實(shí)踐2026-02-26- 在 Linux 系統(tǒng)中，DNS 緩存是一種將域名和 IP 地址映射關(guān)系緩存在本地的機(jī)制，可以加快域名解析速度，并減輕 DNS 服務(wù)器的負(fù)載2026-02-26
