Wie protokolliere ich alle Bash-Befehle aller Benutzer auf einem Server?

Unsere kleine Firma betreibt einen Ubuntu Server 11.10, auf den einige Leute SSH-Zugriff haben. Manchmal werden auch die eigentlichen Terminals verwendet. Wie können wir alle Bash-Befehle zusammen mit Benutzer- und Zeitstempel lokal protokollieren?

Wir können davon ausgehen, dass niemand schändlich ist und aktiv versucht, die Protokollierung zu vermeiden, aber wir würden es dennoch vorziehen, dass die Benutzer keinen direkten Schreibzugriff auf ihre Protokolldateien haben. Gleichzeitige Sitzungen müssen korrekt behandelt werden.

Bearbeiten Sie für BASH-Shells die systemweite BASH-Laufzeitkonfigurationsdatei:

sudo -e /etc/bash.bashrc

An das Ende dieser Datei anhängen:

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p local6.debug "$(whoami) [$$]: $(history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

Richten Sie die Protokollierung für "local6" mit einer neuen Datei ein:

sudo -e /etc/rsyslog.d/bash.conf

Und der Inhalt ...

local6.*    /var/log/commands.log

Starten Sie rsyslog neu:

sudo service rsyslog restart

Ausloggen. Einloggen. Voila!

Aber ich habe die Holzrotation vergessen:

sudo -e /etc/logrotate.d/rsyslog

Es gibt eine Liste von Protokolldateien, die auf die gleiche Weise gedreht werden können ...

/var/log/mail.warn
/var/log/mail.err
[...]
/var/log/message

Fügen Sie also die neue bash-command-Protokolldatei in diese Liste ein:

/var/log/commands.log

Speichern.

In dieser Hinsicht kann ein Prozessabrechnungssystem hilfreich sein, insbesondere das Paket acct , das die Befehle lastcomm und ac bereitstellt.

Der Befehl ac gibt eine Statistik über die Verbindungszeit der Benutzer in Stunden aus. Dies ist die Zeitspanne, in der der Benutzer über SSH oder ein serielles Terminal oder über die Konsole mit dem System verbunden war.

Der Befehl lastcomm zeigt Informationen zu den zuvor ausgeführten Befehlen an. Die neuesten Einträge stehen oben in der Liste. Außerdem wird die Gesamt-CPU-Zeit angezeigt, die jeder Prozess verwendet hat.

Ein altes Tutorial, das hilfreich sein könnte, ist hier:

http://www.linuxjournal.com/article/6144?page=0,1

Andere Abrechnungsbefehle wie last und so weiter finden Sie in diesem Tutorial:

http://www.techrepublic.com/article/system-accounting-in-linux/1053377

Sie könnten snoopy verwenden .

Der Snoopy Logger passt möglicherweise gut zu Ihrem Zweck. Es ist nicht als unvermeidbare Protokollierungslösung gedacht, sondern als hilfreiches Tool für fleißige Administratoren, die lieber den Überblick über ihre eigenen Aktionen behalten möchten.

Offenlegung: Ich bin snoopy Betreuer.

Sie finden hier ein Skript, mit dem Sie alle Bash- Befehle / -Infos in eine Textdatei oder einen Syslog- Server schreiben können, ohne einen Patch oder ein spezielles ausführbares Tool zu verwenden.

Sehr einfach zu implementieren, da es sich um ein einfaches Shell-Skript handelt, das bei der Initialisierung der Bash einmal aufgerufen werden muss .

Es ist kostenlos und ich hoffe, es entspricht Ihren Bedürfnissen.

Um zu gewährleisten, dass mehrere Sitzungen die Verlaufsdatei nicht überschreiben, müssen Sie "shopt -s histappend" in eine Bash-Startdatei einfügen. Siehe auch diese Frage zum selben Problem.

Versuchen Sie dies (die obigen Lösungen funktionieren mit Bash 4.3 nicht zu 100%):

export HISTTIMEFORMAT="%Y-%m-%d %T "
export PROMPT_COMMAND='trap "" 1 2 15; history -a >(tee -a ~/.bash_history | while read line; do if [[ $line =~ ^#[0-9]*$ ]]; then continue; fi; logger -p user.info -t "bash[$$]" "($USER) $line"; done); trap 1 2 15;'

Dies führt die Protokollierung durch UND verhindert die Protokollierung von Zeitstempeln, die für die Bash-Verlaufsdatei verwendet werden. die trap wird benötigt, da bash nach mehrmaligem drücken von strg + c die signale an den "subjob" sendet (getestet mit bash 4.3). dies erzwingt die Abmeldung des aktuellen Benutzers (zB mit sudo eingeloggt)

Sie können auch versuchen, acct zu installieren. Acct führt einen detaillierten Audit-Trail über die Aktivitäten auf Ihren Linux-Systemen.

sudo apt-get install acct