Linux系統實戰項目——sudo日誌審計，linux實戰sudo日誌

Linux系統實戰項目——sudo日誌審計，linux實戰sudo日誌

Linux系統實戰項目——sudo日誌審計

 

由於企業內部許可權管理啟用了sudo許可權管理，但是還是有一定的風險因素，畢竟營運、開發等各個人員技術水平、操作習慣都不相同，也會因一時失誤造成誤操作，從而影響系統運行

 

因此，征對sudo提權的操作，便於管理與後續維護，開啟sudo日誌審計功能對使用者執行 sudo命令的操作行為，但又不記錄其它命令的操作行為

 

一：生產環境中日誌審計方案如下：

1、syslog全部動作記錄審計，此種方法資訊量大，不便查看

2、sudo日誌配合syslog服務進行日誌審計

3、Bastion Host日誌審計

4、bash安裝監視器，記錄使用者使用操作

 

二：配置sudo日誌審計

1、安裝sudo與syslog服務

[root@Centos ~]# rpm -qa|grep sudo

sudo-1.8.6p3-24.el6.x86_64

[root@Centos ~]# rpm -qa|grep rsyslog

rsyslog-5.8.10-10.el6_6.x86_64

檢查是否安裝兩種服務，如果沒有安裝，就使用下面的命令進行安裝

yum install sudo -y

yum install rsyslog -y

備忘：Centos 5.x 為syslog，Centos 6.x 為rsyslog

 

2、佈建服務

建立日誌儲存目錄

[root@Centos ~]# mkdir -p /var/log/

伺服器環境查看

[root@Centos ~]# cat /etc/redhat-release 

CentOS release 6.5 (Final)

[root@Centos ~]# uname -r

2.6.32-431.el6.x86_64

 

伺服器環境為centos 6.5 所以syslog日誌設定檔為/etc/rsyslog.conf

[root@Centos ~]#echo "local2.debug /var/log/sudo.log">>/etc/rsyslog.conf

查看配置

[root@Centos ~]# tail -1 /etc/rsyslog.conf 

local2.debug  /var/log/sudo.log

 

如果伺服器為centos 5.x 所以syslog日誌設定檔為/etc/syslog.conf

 

[root@Centos ~]#echo "local2.debug /var/log/sudo.log">>/etc/syslog.conf

[root@Centos ~]#echo "Defaults logfile=/var/log/sudo.log">>/etc/sudoers

查看配置

[root@Centos ~]# tail -1 /etc/syslog.conf 

local2.debug  /var/log/sudo.log

 

3、配置/etc/sudoers

[root@Centos ~]# echo "Defaults logfile=/var/log/sudo.log">>/etc/sudoers

[root@Centos ~]# tail -1 /etc/sudoers 

Defaults logfile=/var/log/sudo.log

 

4、重啟服務

[root@Centos ~]# /etc/init.d/rsyslog restart

Shutting down system logger:                               [  OK  ]

Starting system logger:                                    [  OK  ]

 

三：測試日記審計結果

[root@Centos ~]# su - cjkaifa001

[cjkaifa001@Centos ~]$ pwd

/home/cjkaifa001

[cjkaifa001@Centos ~]$ touch 123.txt

[cjkaifa001@Centos ~]$ sudo ls

123.txt

[cjkaifa001@Centos ~]$ cat /var/log/sudo.log 

cat: /var/log/sudo.log: Permission denied

直接使用cat命令提示許可權不足

[cjkaifa001@Centos ~]$ sudo cat /var/log/sudo.log 使用sudo提權後可查看

Sep 11 02:41:50 : cjkaifa001 : TTY=pts/1 ; PWD=/home/cjkaifa001 ; USER=root ;

    COMMAND=/bin/ls

Sep 11 02:44:57 : cjkaifa001 : TTY=pts/1 ; PWD=/home/cjkaifa001 ; USER=root ;

    COMMAND=/bin/cat /var/log/sudo.log

經過測試能正常記錄使用者使用sudo的動作記錄記錄，其它命令沒有記錄

 

[root@Centos ~]# rm -rf /var/log/sudo.log 

[root@Centos ~]# /etc/init.d/rsyslog stop

Shutting down system logger:                               [  OK  ]

[root@Centos ~]# su - cjkaifa001

[cjkaifa001@Centos ~]$ cd /

[cjkaifa001@Centos /]$ pwd

/

[cjkaifa001@Centos /]$ ls /root

ls: cannot open directory /root: Permission denied

[cjkaifa001@Centos /]$ sudo ls /root

[sudo] password for cjkaifa001: 

anaconda-ks.cfg  dead.letter  Downloads        install.log.syslog  Public           Videos

backup           Desktop      etc.tar.gz.2016  Music               tar.gz.20160820

data             Documents    install.log      Pictures            Templates

[cjkaifa001@Centos /]$ cat /var/log/sudo.log

cat: /var/log/sudo.log: Permission denied

[cjkaifa001@Centos /]$ sudo cat /var/log/sudo.log

[sudo] password for cjkaifa001: 

Sep 11 03:24:39 : cjkaifa001 : TTY=pts/1 ; PWD=/ ; USER=root ; COMMAND=/bin/ls

    /root

Sep 11 03:30:57 : cjkaifa001 : TTY=pts/1 ; PWD=/ ; USER=root ; COMMAND=/bin/cat

    /var/log/sudo.log

經過測試，直接停掉rsyslog服務，只配置/etc/sudoers也可以記錄使用者sudo提權動作記錄記錄

 

備忘：實際生產環境中，可將日誌審計記錄結果定期推送至指定的記錄備份伺服器上，後續會介紹具體操作過程（如何推送日誌記錄）

如需轉載，煩請註明原出處，更多內容可以掃描下方二維碼關注公眾號

長按二維碼關注公眾號——友侃有笑