linux中配置sudo.log

一 记录sudo操作
1 创建sudo日志文件,并配置/etc/logrotate.d/syslog定期切割该文件(添加sudo log路径)
我们将sudo日志文件放置在 /var/log/sudo.log 文件中:
  $ sudo touch /var/log/sudo.log
2在/etc/sudoers或/etc/sudoers.d/dataops(视具体情况) 加入下面一行:
  Defaults    logfile=/var/log/sudo.log

ps:如果要通知到soc则操作如下
修改 /etc/rsyslog.conf添加如下行(有些系统名为/etc/syslog.conf)并重启  rsyslog service
  local2.debug    /var/log/sudo.log    #空白不能用空格,必须用tab

转载于:https://www.cnblogs.com/dotagg/p/6363999.html

<think>嗯,用户询问了Kali Linux系统中auth.log文件缺失的问题。首先需要理解用户的核心需求:用户可能在使用Kali时发现本该存在的日志文件不见了,这会影响安全审计或取证工作。 从系统机制来看,auth.log通常由rsyslog服务生成,用于记录认证日志。Kali默认使用systemd-journald,但传统上仍会通过rsyslog输出到auth.log。用户可能遇到两种情况:文件被意外删除或服务未运行。 参考用户提供的引用材料,其中提到删除auth.log的操作[^1],暗示用户可能接触过相关操作指导。需要排除用户是否误操作删除了文件。同时引用[2]提到的系统升级问题也值得考虑,大版本升级可能导致配置重置。 解决方案需要分层次:首先检查rsyslog服务状态,这是最直接的排查点。若服务正常,则检查目录权限和磁盘空间。考虑到Kali用户常进行渗透测试,还要提示selinux/apparmor的影响。最后给出重建日志的完整命令流,包括服务重启和权限设置。 用户可能还隐含想知道如何避免再次丢失日志,所以补充了日志轮转配置的建议。最后的问题设计覆盖了日志管理、系统加固和替代方案,帮助用户深入理解Linux认证日志体系。</think>Kali Linux 系统中 `auth.log` 文件缺失通常有以下原因及解决方法: ### 原因分析 1. **日志服务未运行** Kali 默认使用 `rsyslog` 或 `systemd-journald` 管理日志。若 `rsyslog` 未启用,则不会生成 `auth.log`。 **检查命令**: ```bash systemctl status rsyslog ``` 2. **配置错误** `/etc/rsyslog.conf` 中可能未启用 `auth` 日志记录,或路径被修改。 **关键配置项**: ``` auth,authpriv.* /var/log/auth.log ``` 3. **文件被手动删除** 用户可能执行了类似 `rm /var/log/auth.log` 的操作清理痕迹(如引用[^1]所述场景)。 4. **磁盘空间不足** 日志写入失败可能导致文件消失(需检查 `df -h`)。 --- ### 解决方案 #### 1. 启动日志服务 ```bash sudo systemctl start rsyslog sudo systemctl enable rsyslog # 设置开机自启 ``` #### 2. 检查配置文件 编辑 `/etc/rsyslog.conf`,确保包含以下行: ``` auth,authpriv.* /var/log/auth.log ``` 保存后重启服务: ```bash sudo systemctl restart rsyslog ``` #### 3. 重建日志文件(若被删除) ```bash sudo touch /var/log/auth.log sudo chown syslog:adm /var/log/auth.log # 修复权限 sudo chmod 640 /var/log/auth.log sudo systemctl restart rsyslog ``` #### 4. 检查日志轮转配置 确认 `/etc/logrotate.d/rsyslog` 包含 `auth.log` 的轮转规则: ``` /var/log/auth.log { rotate 4 weekly missingok notifempty compress delaycompress sharedscripts postrotate /usr/lib/rsyslog/rsyslog-rotate endscript } ``` --- ### 验证与调试 - **实时监控日志**: ```bash sudo tail -f /var/log/auth.log ``` - **测试日志生成**: 执行 `sudo su` 或 `ssh localhost` 触发认证事件。 - **查看系统日志**: ```bash journalctl -u rsyslog --no-pager # 检查rsyslog自身错误 ``` > **注意**:若使用 `systemd-journald` 作为主要日志系统,可通过 `journalctl -u sshd` 查看认证日志,但传统工具(如fail2ban)仍依赖 `auth.log`。 --- ### 预防措施 1. 定期备份日志配置: ```bash sudo cp /etc/rsyslog.conf /etc/rsyslog.conf.bak ``` 2. 启用日志监控工具(如 `logwatch` 或 `auditd`)。 3. 避免直接删除日志文件,使用 `> auth.log` 清空内容而非删除实体文件。 ---
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值