操作审计配置详解
操作过程
vim /etc/bashrc
在结尾添加
export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`] "$msg"; }'
!!! 如果使用的是微软Edge浏览器,注意不要复制,有格式问题。推荐使用Firefox、Chrome等浏览器查看。
/etc/bashrc 是什么?
# /etc/bashrc
# System wide functions and aliases
# Environment stuff goes in /etc/profile
显然,/etc/bashrc针对bash进行别名和函数的设置;/etc/profile针对系统进行环境变量的设置。
PROMPT_COMMAND是什么?
PROMPT_COMMAND是/etc/bashrc中的一个特殊变量,PROMPT_COMMAND='命令',该命令会在bash提示符#或者$出现前执行,简单说就是每敲一次回车,这个命令就执行一遍,所以可以拿来做操作审计。
{}有什么用?
{}定义了一个代码块,也叫内部组,实际上创建了一个匿名函数。与小括号中的命令不同,大括号内的命令不会新开一个子shell运行,即脚本余下部分仍可使用括号内变量。括号内的命令间用分号隔开,最后一个也必须有分号。{}的第一个命令和左括号之间必须要有一个空格。习惯两边都加上空格。
logger是什么?
logger是一个记录日志的命令,默认记录在/var/log/messages;
/var/log/messages日志格式
从左到右分别是:
月 日 时分秒 主机名 进程名 PID 日志内容
命令详解
msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`] "$msg";
首先获取最近的一条命令的历史记录即上一条命令
、
read 从标准输入读取并将1001赋给x,将history 1赋给y;然后打印y的值并赋给变量msg
logger命令后面接日志内容
$(whoami)表示命令的执行者是谁
$(who am i)表示登录者是谁以及终端 时间 IP
`pwd` 表示当前目录
$msg 表示前面记录下来的操作
最终的结果如下: