Linux 设置登录操作审计(实用)

最新推荐文章于 2025-12-16 17:06:35 发布

原创最新推荐文章于 2025-12-16 17:06:35 发布 · 475 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#linux #服务器 #运维

Linux 同时被 2 个专栏收录

36 篇文章

订阅专栏

ECS

31 篇文章

订阅专栏

一、查看日志文件

Linux查看/var/log/wtmp文件查看可疑IP登陆

last -f /var/log/wtmp

该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大，增加的速度取决于系统用户登录的次数。该日志文件可以用来查看用户的登录记录，last命令就通过访问这个文件获得这些信息，并以反序从后向前显示用户的登录记录，last也能根据用户、终端tty或时间显示相应的记录。

查看/var/log/secure文件寻找可疑IP登陆次数

二、脚本生成所有登录用户的操作历史（升级版）

通过在/etc/profile里面加入以下代码就可以实现：

#start
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
export HISTTIMEFORMAT="[%F %T][`whoami`][${USER_IP}] "
#history
LOGIP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
LOG_DIR=/var/log/history
if [ -z $LOGIP ]
then
LOGIP=`hostname`
fi
if [ ! -d $LOG_DIR ]
then
mkdir -p $LOG_DIR
chmod 751 $LOG_DIR
fi
if [ ! -d $LOG_DIR/${LOGNAME} ]
then
mkdir -p $LOG_DIR/${LOGNAME}
chmod 751 $LOG_DIR/${LOGNAME}
fi
export HISTSIZE=4096
LOGTM=`date +"%Y%m%d_%H%M%S"`
export HISTFILE="$LOG_DIR/${LOGNAME}/${LOGIP}-$LOGTM"
chmod 751 $LOG_DIR/${LOGNAME}/*-* 2>/dev/null
#end

source /etc/profile 使用脚本生效

退出用户，重新登录

脚本在系统的/var/log/history新建个目录，记录所有登陆过系统的用户和IP地址（文件名），每当用户登录/退出会创建相应的文件，该文件保存这段用户登录时期内操作历史，可以用这个方法来监测系统的安全性。