操作审计配置详解

操作过程

vim /etc/bashrc

在结尾添加

export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`] "$msg"; }' 

!!! 如果使用的是微软Edge浏览器，注意不要复制，有格式问题。推荐使用Firefox、Chrome等浏览器查看。

/etc/bashrc 是什么？

# /etc/bashrc

# System wide functions and aliases
# Environment stuff goes in /etc/profile

显然，/etc/bashrc针对bash进行别名和函数的设置；/etc/profile针对系统进行环境变量的设置。

PROMPT_COMMAND是什么？

PROMPT_COMMAND是/etc/bashrc中的一个特殊变量，PROMPT_COMMAND='命令'，该命令会在bash提示符#或者$出现前执行，简单说就是每敲一次回车，这个命令就执行一遍，所以可以拿来做操作审计。

{}有什么用？

{}定义了一个代码块，也叫内部组，实际上创建了一个匿名函数。与小括号中的命令不同，大括号内的命令不会新开一个子shell运行，即脚本余下部分仍可使用括号内变量。括号内的命令间用分号隔开，最后一个也必须有分号。{}的第一个命令和左括号之间必须要有一个空格。习惯两边都加上空格。

logger是什么？

logger是一个记录日志的命令，默认记录在/var/log/messages;

/var/log/messages日志格式

从左到右分别是：

月    日      时分秒      主机名      进程名   PID       日志内容

命令详解

msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`] "$msg";

 首先获取最近的一条命令的历史记录即上一条命令

、

read 从标准输入读取并将1001赋给x，将history 1赋给y；然后打印y的值并赋给变量msg

logger命令后面接日志内容

$（whoami）表示命令的执行者是谁

$（who am i）表示登录者是谁以及终端 时间 IP

`pwd` 表示当前目录

$msg 表示前面记录下来的操作

最终的结果如下：