사용자의 bash 명령을 어떻게 기록합니까?

사용자가 ssh를 통해 chroot jail에 로그인하는 데비안 에칭 서버를 실행하고 있습니다. 명령을 삭제하거나 방지 할 수없는 방식으로 실행되도록하려면 어떻게해야합니까?

스누피를 설치하십시오 . 한 명의 사용자 만 로그하려면 syslog 필터링 fu를 수행하십시오.

패치 또는 특수 실행 도구를 사용하지 않고 모든 'bash'명령 / 내장을 텍스트 파일 또는 'syslog'서버에 기록하는 방법을 작성했습니다.

'bash'를 초기화 할 때 한 번 호출해야하는 간단한 셸 스크립트이므로 배포하기가 매우 쉽습니다. (예를 들어 .bashrc에서 '소스'만 사용하십시오) bash DEBUG 트랩 사용 아이디어를 기반으로합니다. superuser.com에서이 게시물을 참조하십시오

declare -rx HISTCONTROL=""                                  #does not ignore spaces or duplicates
declare -rx HISTIGNORE=""                                   #does not ignore patterns
declare -rx AUDIT_LOGINUSER="$(who -mu | awk '{print $1}')"
declare -rx AUDIT_LOGINPID="$(who -mu | awk '{print $6}')"
declare -rx AUDIT_USER="$USER"                              #defined by pam during su/sudo
declare -rx AUDIT_PID="$$"
declare -rx AUDIT_TTY="$(who -mu | awk '{print $2}')"
declare -rx AUDIT_SSH="$([ -n "$SSH_CONNECTION" ] && echo "$SSH_CONNECTION" | awk '{print $1":"$2"->"$3":"$4}')"
declare -rx AUDIT_STR="[audit $AUDIT_LOGINUSER/$AUDIT_LOGINPID as $AUDIT_USER/$AUDIT_PID on $AUDIT_TTY/$AUDIT_SSH]"
set +o functrace                                            #disable trap DEBUG inherited in functions, command substitutions or subshells, normally the default setting already
shopt -s extglob                                            #enable extended pattern matching operators
function audit_DEBUG() {
  if [ "$BASH_COMMAND" != "$PROMPT_COMMAND" ]               #avoid logging unexecuted commands after 'ctrl-c or 'empty+enter'
  then
    local AUDIT_CMD="$(history 1)"                          #current history command
    if ! logger -p user.info -t "$AUDIT_STR $PWD" "${AUDIT_CMD##*( )?(+([0-9])[^0-9])*( )}"
    then
      echo error "$AUDIT_STR $PWD" "${AUDIT_CMD##*( )?(+([0-9])[^0-9])*( )}"
    fi
  fi
}
function audit_EXIT() {
  local AUDIT_STATUS="$?"
  logger -p user.info -t "$AUDIT_STR" "#=== bash session ended. ==="
  exit "$AUDIT_STATUS"
}
declare -fr +t audit_DEBUG
declare -fr +t audit_EXIT
logger -p user.info -t "$AUDIT_STR" "#=== New bash session started. ===" #audit the session openning
#when a bash command is executed it launches first the audit_DEBUG(),
#then the trap DEBUG is disabled to avoid a useless rerun of audit_DEBUG() during the execution of pipes-commands;
#at the end, when the prompt is displayed, re-enable the trap DEBUG
declare -rx PROMPT_COMMAND="trap 'audit_DEBUG; trap DEBUG' DEBUG"
declare -rx BASH_COMMAND                                    #current command executed by user or a trap
declare -rx SHELLOPT                                        #shell options, like functrace
trap audit_EXIT EXIT  

자세한 내용은 여기에 설명되어 있습니다 : http://blog.pointsoftware.ch/index.php/howto-bash-audit-command-logger

Francois Scheurer를 건배

ttyrpld 시도 할 수 있습니다 . 전체 tty를 기록하기 때문에 원하는 것 이상입니다.
나는 그것을 직접 사용하지는 않았지만 (커널에서) 작동하는 방식으로 사용자가 로그를 변경할 수 없습니다.

grsecurity 패치 커널을 사용하십시오 . 이 목적을위한 커널 옵션이 있습니다.

시스템 감사를 활성화 할 수 있습니다.

bash는 지정된 크기의 명령 기록을 유지합니다. 관리자는 해당 크기를 설정하고 cron을 통해 사용자별로 해당 내역을 가져 오는 스크립트를 쉽게 작성할 수 있습니다.