通过bash实现linux系统账户审计功能

转文转自:http://www.sudu.cn/info/index.php?op=article&id=17049

实现该功能要求如下:

1.接受审计的登录用户默认shell必须为bash

2.bash版本至少3.00或以上

需要该要求的原因是实现功能的方法需要用到history命令的HISTTIMEFORMAT变量和PROMPT_COMMAND变量.

对于其他的shell我并未测试.如果其他shell可以实现这两个变量的功能那么理论上也可以使用.

实现方法如下:

5.编辑/etc/profile

在末尾添加下面内容

重新登录后,即可看到/var/log/audit.log刷新的实时日志

该审计功能是通过bash的一个变量PROMPT_COMMAND的特性实现.

经过本人测试，发现确实可以实现！

之后的方法，我认为可以过过命令行来查询每个用户的执行的命令，例如：

 其他用户的操作命令记录，解释一下cheng(root)，它的意思是原本登录的用户是root,后来切换到了cheng这个账户。如果用户使用的是cheng这个账户登录的话，那么显示会是cheng.cheng.

通过以上的测试，发现已基本实际了账户审计，命令记录功能。当然为了日后考虑，可以给audit.log这个文件做循环。

如何做audit.log的日志轮换呢？

可以测试一下！刚跑过了一次。