Wie kann ich ausführbare Dateien verfolgen, die von meinem Benutzer unter Linux erstellt wurden?

Unter Linux möchte ich die ausführbaren Dateien verfolgen, die in meinem Namen ausgeführt werden, einschließlich der gesamten Befehlszeile (in der Praxis wird jeder exec * () als mein eigener Benutzer ausgeführt). Ein Programm, das ich nicht kontrolliere, soll, um eine Aufgabe zu erledigen, das Programm ausführen, das ich übergebe, aber ich möchte sicherstellen, dass es dies tut und welche Optionen es verwendet. Das Programm, das ich nicht kontrolliere, ist hinterhältig und scheint das Verhalten abhängig vom Namen des Programms zu ändern, das es für die Aufgabe ausführen soll. Daher kann ich kein Shell-Skript übergeben, das die Informationen protokolliert und das Real aufruft Programm.

Kann ich über alle Exec * () informiert werden, die als mein Benutzer auf dem System unter Linux ausgeführt wurden, einschließlich der vollständigen Befehlszeile? Das heißt, es läuft nicht psin einer Schleife. Ich mache es lieber direkt auf dem System, auf dem ich arbeite und keinen Root-Zugriff benötige, aber wenn nötig, kann ich ein System erzeugen, auf dem ich Root-Zugriff habe, die Programme installieren und dort nachforschen.

Verwenden von Ubuntu 12.4 LTS.

Sie müssen konfigurieren auditd, um execveEreignisse aufzuzeichnen . Beispiel für RHEL5:

[root@ditirlns01 ~]# auditctl -a always,entry -S execve
WARNING - 32/64 bit syscall mismatch, you should specify an arch
[root@ditirlns01 ~]#

Ich ignoriere die Bogenwarnung und es scheint keine Rolle zu spielen, aber Sie können sie verwenden -F arch=b64oder -F arch=b32einstellen, wenn Sie möchten.

Das Ergebnis des oben Gesagten ist:

[root@ditirlns01 ~]# ls /tmp/whatever
ls: /tmp/whatever: No such file or directory
[root@ditirlns01 ~]# grep whatever /var/log/audit/audit.log
type=EXECVE msg=audit(1386797915.232:5527206): argc=3 a0="ls" a1="--color=tty" a2="/tmp/whatever"
type=EXECVE msg=audit(1386797927.133:5527241): argc=3 a0="grep" a1="whatever" a2="/var/log/audit/audit.log"
[root@ditirlns01 ~]#

Das ist natürlich schnell und schmutzig, aber das sind die Grundlagen dafür, wie Sie es tun. Was Sie genau tun müssen, hängt wahrscheinlich stark davon ab, was Sie genau tun möchten. Sie können den Überwachungsfluss mithilfe verschiedener Filter im auditctlBefehl reduzieren, aber ich kenne keine dieser Informationen, sodass ich nicht weiß, was ich einschließen soll. Wenn Sie etwas Spezifischeres benötigen, empfehlen wir Ihnen, entweder die Manpage zu überprüfen oder einen Kommentar zu dieser Antwort zu schreiben, und ich werde sie weiter aktualisieren.

Ich hoffe, das hilft Ihnen, in die richtige Richtung zu gehen.

BEARBEITEN:

Da Ihre Frage die Betrachtung eines bestimmten Benutzers beinhaltet, kann ich Ihnen Folgendes zeigen:

[root@ditirlns01 ~]# auditctl -a always,entry -S execve -F euid=16777216
WARNING - 32/64 bit syscall mismatch, you should specify an arch

Identisch mit den oben genannten, aber nur execvevon jemandem, der mit der effektiven Benutzer-ID von ausgeführt 16777216wird, wird protokolliert. Wenn Sie den loginuidWert des Benutzers angeben müssen (als den er sich ursprünglich am System angemeldet hat), filtern Sie auidstattdessen nach:

[root@ditirlns01 ~]# auditctl -a always,entry -S execve -F auid=16777216
WARNING - 32/64 bit syscall mismatch, you should specify an arch

AUID / loginuid-Filter wären beispielsweise nützlich, wenn der Benutzer ein suoder ein sudoRoot- Verfahren ausführt . In dieser Situation werden viele Dinge als root ausgeführt, aber Sie befassen sich nur mit den Dingen, die vom betreffenden Benutzer gestartet wurden. auditctlAußerdem können Sie Filter stapeln, sodass Sie nach beiden filtern können euidund auid:

[root@ditirlns01 ~]# auditctl -a always,entry -S execve -F auid=16777216 -F euid=0
WARNING - 32/64 bit syscall mismatch, you should specify an arch
[root@ditirlns01 ~]# ls /tmp/nashly -ltar
ls: /tmp/nashly: No such file or directory
[root@ditirlns01 ~]# grep nashly /var/log/audit/audit.log
type=EXECVE msg=audit(1386798635.199:5529285): argc=4 a0="ls" a1="--color=tty" a2="/tmp/nashly" a3="-ltar"
type=EXECVE msg=audit(1386798646.048:5529286): argc=3 a0="grep" a1="nashly" a2="/var/log/audit/audit.log"

Sie haben etwas Einfaches gefragt. Ich habe ein Beispiel mit gemacht, mplayeraber ich denke, es kann an andere Situationen angepasst werden:

#! /bin/sh
# This executable must be used instead of /usr/bin/mplayer
# do not forget the chmod +x filename...
LOG=/tmp/mplayer.log
echo "$@" >> $LOG
if [ -n "$1" ] && [ -f "$1" ] ; then
        filename="$1"
        echo "$(date "+%F %T") $(basename "$filename")" \
        | tee -a "$(dirname "$filename")/mplayer.log"  >> $LOG
fi
/usr/bin/mplayer "$@"

Wie Sie sehen, ist dies sehr einfach: Es analysiert das erste Argument, da es sich um eine Datei handelt, wird ein Protokoll in die zentrale Datei erstellt $LOGund zu einer Datei verkettet (die immer denselben Namen mplayer.logim selben Verzeichnis hat.

So kann der Benutzer den neuesten Film erhalten, den er in jedem Verzeichnis gelesen hat.