(转)企业配置sudo命令用户行为日志审计

原文：https://www.cnblogs.com/Csir/p/6403830.html?utm_source=itdadao&utm_medium=referral

第15章 企业配置sudo命令用户行为日志审计

15.1 生产环境企业日志审计解决方案：

所谓日志审计，就是记录所有系统及相关用户行为的信息，并且可以自动分析、处理、展示（包括文本或录像）

下面是各种解决方案

l 通过环境变量命令及rsyslog服务进行所有用户的所有操作的全部日志审计（信息太大，不推荐）

l sudo配合rsyslog服务,进行sudo日志审计（审计信息较少，效果不错）。

l 在bash解释器程序里嵌入一个监视器，让所有被审计的系统用户使用修改过的增加了监视器的特殊bash程序作为解释程序。

l 齐治堡垒机：商业产品

l python开发的开源产品：CrazyEye

http://3060674.blog.51cto.com/3050674/1700814

l 开源跳板机（堡垒机）Jumpserver部署详解

http://blog.51cto.com/zt/658

l gateone web 跳板机

http://liftoffsoftware.com/Products/GateOne

sudo日志审计是专门对使用sudo命令的系统用户记录其执行的命令相关信息

15.2 服务器用户权限管理改造方案与实施项目

1. 提出权限整改解决方案改进公司超级权限root泛滥的现状。

2. 召集大家开会讨论确定方案后推进实施。

3. 实施后使得公司的权限管理更加表晰了（总结维护），从根本上降低了内部操作等不规范

15.3 服力器日志审计项目提出与实施

1. 权限控制后进一步实施对所有用户日志记录方案。

2. 通过sudo和syslog配合实现对所有用户进行日志审计并将记录集中管理。

3. 实施后让所有运维和开发的所有执行的命令都有记录可查，杜绝了内部人员的操作安全隐民患。

第16章 sudo日志审计

16.1 配置/etc/sudoers

一行即搞定

[root@34moban ~]# echo "Defaults logfile=/var/log/sudo.log" >/etc/sudoers

[root@34moban ~]# tail -1 /etc/sudoers

Defaults logfile=/var/log/sudo.log

[root@34moban ~]# visudo -c

/etc/sudoers: parsed OK

16.2 日志集中管理（了解）：

1. rsync+inotify或定时任务+rsync，推到日志管理服务器上，10.0.0.7_20130302.sudo.log

2. rsyslog服务来处理。

echo "10.0.2.164 logserver" >> /etc/hosts

#日志服务器地址

echo "*.info @logserver" >> /etc/syslog.conf ç适合所有日志推走

3. 日志收集解决方案 scribe,Flume,stom,logstash ELK

博主的linux交流群：605799367