Linux帐号活动审计脚本

damcool

为了防止用户滥用root等敏感帐号，并且便于管理上追踪相应的sudo活动造成的问题。简单的根据/etc/bashrc的功能实现了帐号活动记录和存档的功能。下面列出一些实现的主要步骤：

• 首先，设置/etc/bashrc，在文件最后添加下列语句，用以建立帐号活动记录
  1. mkdir -p $HOME/.audit &>/dev/null
     
  2. export AUDIT_FILE=$HOME/.audit/$(who am i|awk '{printf("%s_%s_%s_%s.aud",$1,$2,$3,$4)}'|tr '/:' '-') &>/dev/null
     
  3. export PROMPT_COMMAND='(ts=`date "+[%Y%m%d %H:%M:%S]"` && cmd=$(echo ">>`history 1|{ read y x; echo -e "$x";}`<<@`who am i |awk \"{print \\$5}\"`") && lst_cmd=`tail -10 $AUDIT_FILE|grep "]"|tail -1|cut -d "]" -f 2-` && [[ "$lst_cmd" != "$cmd" ]] && echo "$ts$cmd") >> "$AUDIT_FILE"'

  复制代码
• 然后，创建目录/usr/local/admin/，创建如下脚本audit.sh
  1. #!/bin/bash
     
  2. 
     
  3. ################################################################################
     
  4. # Note:
     
  5. # Please add below lines into /etc/bashrc first
     
  6. # mkdir -p $HOME/.audit &>/dev/null
     
  7. # export AUDIT_FILE=$HOME/.audit/$(who am i|awk '{printf("%s_%s_%s_%s.aud",$1,$2,$3,$4)}'|tr '/:' '-') &>/dev/null
     
  8. # export PROMPT_COMMAND='(ts=`date "+[%Y%m%d %H:%M:%S]"` && cmd=$(echo ">>`history 1|{ read y x; echo -e "$x";}`<<@`who am i |awk \"{print \\$5}\"`") && lst_cmd=`tail -10 $AUDIT_FILE|grep "]"|tail -1|cut -d "]" -f 2-` && [[ "$lst_cmd" != "$cmd" ]] && echo "$ts$cmd") >> "$AUDIT_FILE"'
     
  9. ################################################################################
     
  10. 
      
  11. ################################################################################
      
  12. #  Function Name:        HELP_USAGE
      
  13. #  Description:                Function to display the usage of the script
      
  14. #  Parameters:                 None
      
  15. #  Return:                        Help messages
      
  16. #  Called By:                Script Main Loop->Script Parameters' Handler
      
  17. #  History:                        2012-SEP-17        Initial Edition                                                RobinHoo
      
  18. ################################################################################
      
  19. function help_usage(){
      
  20. cat <<EOF
      
  21. Usage: $PROGNAME [OPTION]
      
  22. Audit files maintenance functions according to /etc/bashrc settings
      
  23. 
      
  24.   -a, --archive        Archive the audit logging files older than 7 days and compress
      
  25.                                   the archive file of last month as well as delete the archive
      
  26.                                   over a year 365 days.
      
  27.   -h, --help   Show current help message of the script usages
      
  28.   
      
  29. Notes:
      
  30.   
      
  31. Please Report Script Bugs to $AUTHOR_MAIL
      
  32. 
      
  33. 
      
  34. EOF
      
  35. exit 1
      
  36. }
      
  37. 
      
  38. ################################################################################
      
  39. #  Function Name:        ARCHIVE_LOGGING
      
  40. #  Description:                Function to archive the audit logging files
      
  41. #  Parameters:                 None
      
  42. #  Return:                        None
      
  43. #  Called By:                Script Main Loop->Script Parameters' Handler
      
  44. #  History:                        2012-SEP-17        Initial Edition                                                RobinHoo
      
  45. ################################################################################
      
  46. function archive_logging(){
      
  47.         local pwd_line
      
  48.         local user_id
      
  49.         local home_dir
      
  50.         local tar_files
      
  51.         local tar_file
      
  52.         for pwd_line in $(cat /etc/passwd|tr ' ' '_'); do
      
  53.                 user_id=$(echo "$pwd_line"|awk -F ":" '{print $1}')
      
  54.                 home_dir=$(echo "$pwd_line"|awk -F ":" '{print $6}')
      
  55.                 if [ -d "$home_dir/.audit" ]; then
      
  56.                         cd $home_dir/.audit
      
  57.                         for tar_files in $(find -type f -name "*aud" -mtime +7 -exec basename {} \;); do
      
  58.                                 tar_file="audit_"$(echo $tar_files|awk -F "_" '{print $3}'|cut -d "-" -f 1-2)".tar"
      
  59.                                 [ -f "$tar_file" ] && tar -rf "$tar_file" $tar_files || tar -cf "$tar_file" $tar_files
      
  60.                                 rm -f $tar_files &>/dev/null
      
  61.                         done
      
  62.        
      
  63.                         find -type f -name "*tar" -mtime +31 | xargs -i basename {} | xargs -i bzip2 -zq9 {} &>/dev/null
      
  64.                        
      
  65.                         find -type f -name "*bz2" -mtime +365 | xargs -i basename {} | xargs -i rm -f {} &>/dev/null
      
  66.                        
      
  67.                         chown $user_id.$user_id *tar *bz2 &>/dev/null
      
  68.                         chmod 644 *tar *bz2 &>/dev/null
      
  69.                 fi
      
  70.         done       
      
  71. }
      
  72. 
      
  73. ################################################################################
      
  74. #  Function Name:        Script Main Loop
      
  75. #  History:                        2012-SEP-16        Initial Edition                                                RobinHoo
      
  76. ################################################################################
      
  77. BASE_DIR=$(cd "$(dirname "$0")" && pwd)
      
  78. PROGNAME=$(basename "$0")
      
  79. AUTHOR_MAIL="robin.hoo@pginw.com"
      
  80. ACRCHIVE=0
      
  81. HELP=0
      
  82. [ $# -eq 0 ] && help_usage
      
  83. while [ $# -gt 0 ]
      
  84. do
      
  85.     case "$1" in
      
  86.     (-a)                ACRCHIVE=1;shift;break;;
      
  87.     (-h)                HELP=1;shift;break;;
      
  88.     (--archive)        ACRCHIVE=1;shift;break;;
      
  89.     (--help)        HELP=1;shift;break;;
      
  90.     (*)                        echo "$PROGNAME: error - unrecognized option or parameter $1" 1>&2; HELP=1;break;;
      
  91.     esac
      
  92.     shift
      
  93. done
      
  94. [ $# -gt 0 ] && HELP=1
      
  95. [ $HELP -eq 1 ] && help_usage
      
  96. [ $ACRCHIVE -eq 1 ] && archive_logging && exit 0
      
  97. 
      

  复制代码
• 最后，创建如下cron job负责定期归档审计记录文件
  1. 0 0 * * * sh /usr/local/admin/audit.sh --archive

  复制代码

Shell_HAT

感谢分享

dahaoshanhe

楼主是个用心之人啊  安全策略考虑的比较周到  感谢分享！

qq5910225

我也弄个过一个，跟大家分享一下。
http://backkom.blog.51cto.com/3939458/976608