linux操作监控

beardog

大家好
        我有一台centos 6.5的机器，作为开发测试机。最近上面的TOMCAT经常被关闭，但是不知道谁关的。目前我们没有堡垒机。所以想从其他方面想办法。
        第一。 能否设置linux同一时间，只有一个用户可以登录，比如user01这个用户登录了，其他用户都无法再登录，即使USER01也只能登录一次。
        第二。 能否查询到linux执行过的命令历史记录，history这个命令记录在哪里？
        第三。 如果有人KILL进程，有什么办法监控到，或者知道是谁KILL的？

sunzhongyu

你用jumpserver吧，这个能记录

lsvs666

history 在用户的家目录的.bash_history 里面保存。
下面的代码是网上的。可以记录用户的登录ip，使用了哪些命令等。
PS1="`whoami`@`hostname`:"'[$PWD]'
history
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
fi
if [ ! -d /tmp/record ]
then
mkdir /tmp/record
chmod 777 /tmp/record
fi
if [ ! -d /tmp/record/${LOGNAME} ]
then
mkdir /tmp/record/${LOGNAME}
chmod 300 /tmp/record/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date "+%Y-%m-%d_%H:%M:%S"`
export HISTFILE="/tmp/record/${LOGNAME}/${USER_IP}_record.$DT"
chmod 600 /tmp/record/${LOGNAME}/*record* 2>/dev/null

kernel

将下面这段代码添加到/etc/profile文件中，即可实现上述功能。

    #history
    USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
    HISTDIR=/usr/share/.history
    if [ -z $USER_IP ]
    then
    USER_IP=`hostname`
    fi
    if [ ! -d $HISTDIR ]
    then
    mkdir -p $HISTDIR
    chmod 777 $HISTDIR
    fi
    if [ ! -d $HISTDIR/${LOGNAME} ]
    then
    mkdir -p $HISTDIR/${LOGNAME}
    chmod 300 $HISTDIR/${LOGNAME}
    fi
    export HISTSIZE=4000
    DT=`date +%Y%m%d_%H%M%S`
    export HISTFILE="$HISTDIR/${LOGNAME}/${USER_IP}.history.$DT"
    export HISTTIMEFORMAT="[%Y.%m.%d %H:%M:%S]"
    chmod 600 $HISTDIR/${LOGNAME}/*.history* 2>/dev/null

这段代码将每个用户的shell命令执行历史以文件的形式保存在/usr/share/.history目录中，每个用户一个文件夹，并且文件夹下的每个文件以IP地址加shell命令操作时间的格式命名。下面是user01用户执行shell命令的历史记录文件，基本效果如下：

    [iyunv@server user01]#  pwd
    /usr/share/.history/user01
    [iyunv@server user01]# ls -al
    -rw------- 1 user01 wheel  56 Jul  6 17:07 192.168.12.12.history.20150706_164512
    -rw------- 1 user01 wheel  43 Jul  6 17:42 192.168.12.12.history.20150706_172800
    -rw------- 1 user01 wheel  22 Jul  7 12:05 192.168.12.19.history.20150707_111123
    -rw------- 1 user01 wheel  22 Jul  8 13:41 192.168.12.20.history.20150708_120053
    -rw------- 1 user01 wheel  22 Jul  1 15:28 192.168.12.186.history.20150701_150941
    -rw------- 1 user01 wheel  22 Jul  2 19:47 192.168.12.163.history.20150702_193645
    -rw------- 1 user01 wheel  22 Jul  3 12:38 192.168.12.19.history.20150703_120948
    -rw------- 1 user01 wheel  22 Jul  3 19:14 192.168.12.134.history.20150703_183150

保存历史命令的文件夹目录要尽量隐蔽，避免被黑客发现后删除。

beardog

kernel 发表于 2015-11-4 10:34
将下面这段代码添加到/etc/profile文件中，即可实现上述功能。

    #history

添加之后，需要重启，或者用什么命令，让这个设置生效吗？

beardog

kernel 发表于 2015-11-4 10:34
将下面这段代码添加到/etc/profile文件中，即可实现上述功能。

    #history

我添加代码后，是这样的结果，怎么看具体执行的命令？

[iyunv@iZ23a8yxvsxZ testteam]# pwd
/usr/share/.history/testteam
[iyunv@iZ23a8yxvsxZ testteam]# ls -al
total 8
d-wx------ 2 root root 4096 Nov  4 10:48 .
drwxrwxrwx 4 root root 4096 Nov  4 10:48 ..
[iyunv@iZ23a8yxvsxZ testteam]#

beardog

lsvs666 发表于 2015-11-4 10:31
history 在用户的家目录的.bash_history 里面保存。
下面的代码是网上的。可以记录用户的登录ip，使用了哪 ...

这段代码怎么用？要放到什么地方？

lsvs666

beardog 发表于 2015-11-4 10:54
我添加代码后，是这样的结果，怎么看具体执行的命令？

[iyunv@iZ23a8yxvsxZ testteam]# pwd

退出当前用户，然后重新登录试试。

sunzhongyu

使用点(.)命令立即生效
. /etc/profile

beardog

kernel 发表于 2015-11-4 10:34
将下面这段代码添加到/etc/profile文件中，即可实现上述功能。

    #history

生效了。加入这段代码后，执行. /etc/profile后，就能看到记录的操作了。谢谢。