이런 종류의 정보를 얻는 두 가지 좋은 방법이 있습니다. 하나는 sshd 자체에서 로깅을 늘리는 것이고 다른 하나는 디스크의 git 저장소에 대한 심층 모니터링을 수행하는 것입니다. 어느 쪽도 개별적으로 원하는 정보를 제공하지 않기 때문에 외부 로그 분석 엔진을 사용하거나 필요할 때 사람의 눈과 타임 스탬프를 사용하여 로그 데이터를 상관시키고 상관시킬 수 있습니다.
sshd 수정
의심 할 여지없이 기본적으로 ssh 인증 로그를 사용하여 언제 어디서 로그인했는지 확인할 수 있습니다. 당신이하고 싶은 것은 sshd에서 로그 아웃 할 때 레벨을 변경하는 것입니다. 그래서 당신을 편집 /etc/ssh/sshd_config하고 다음과 같은 줄을 찾으십시오.
#LogLevel INFO
그리고 그것을
LogLevel VERBOSE
그런 다음 sshd 서비스를 다시 시작하십시오. 이렇게하면 sshd의 로깅 수준이 1 단계 증가하여 더 많은 정보가 제공됩니다. 변경 한 후 원격 액세스에 대한이 로그 스 니펫을 확인하십시오.
Nov 2 08:37:09 node1 sshd[4859]: Connection from 10.10.10.5 port 50445
Nov 2 08:37:10 node1 sshd[4859]: Found matching RSA key: f2:9e:a1:ca:0c:33:02:37:9b:de:e7:63:d5:f4:25:06
Nov 2 08:37:10 node1 sshd[4860]: Postponed publickey for scott from 10.10.10.5 port 50445 ssh2
Nov 2 08:37:10 node1 sshd[4859]: Found matching RSA key: f2:9e:a1:ca:0c:33:02:37:9b:de:e7:63:d5:f4:25:06
Nov 2 08:37:10 node1 sshd[4859]: Accepted publickey for scott from 10.10.10.5 port 50445 ssh2
Nov 2 08:37:10 node1 sshd[4859]: pam_unix(sshd:session): session opened for user scott by (uid=0)
Nov 2 08:37:10 node1 sshd[4859]: User child is on pid 4862
Nov 2 08:40:27 node1 sshd[4862]: Connection closed by 10.10.10.5
Nov 2 08:40:27 node1 sshd[4862]: Transferred: sent 30632, received 7024 bytes
Nov 2 08:40:27 node1 sshd[4862]: Closing connection to 10.10.10.5 port 50445
Nov 2 08:40:27 node1 sshd[4859]: pam_unix(sshd:session): session closed for user scott
여기서 주목해야 할 것은 두 가지입니다.
- 인증에 사용 된 공개 키의 지문이 보입니다.
- 로그 오프 타임 스탬프를 본다
기본 LogLevel (INFO) sshd를 사용하면 해당 항목이 모두 기록되지 않습니다. 키 지문을 얻는 것은 추가 단계입니다. authorized_keysssh-keygen을 사용 하여 적절한 파일 을 처리해야합니다 .
[root@node1 ssh]# ssh-keygen -l -f /home/scott/.ssh/authorized_keys
4096 f2:9e:a1:ca:0c:33:02:37:9b:de:e7:63:d5:f4:25:06 /home/scott/.ssh/authorized_keys (RSA)
이제 다음 정보를 알게되었습니다.
- 로그온 한 사용자 이름
- 사용자가 로그온 한 시간
- 인증에 사용 된 공개 키
- 사용자가 로그 오프 한 시간
두 사용자가 동시에 로그인하지 않았다고 가정하면 특정 시간에 사용자 조치를 표시 할 수있는 방법이 생겼으므로 저장소의 변경 사항을 살펴볼 수 있습니다.
감사를 통한 디렉토리 모니터링
sysadmin1138이 말했듯이, 이것은 감사 된 하위 시스템의 훌륭한 사용 사례가 될 수 있습니다. RedHat 기반 배포판을 사용하지 않는 경우 아날로그가있을 수 있지만 찾아야합니다. 감사를위한 구성은 매우 강렬하며 수많은 구성 옵션이 있습니다. 몇 가지 옵션에 대한 아이디어를 얻으려면 자매 사이트에서 정보 보안 전문가를위한 이 질문 을 확인하십시오 .
최소한 git 저장소가 포함 된 디스크의 디렉토리에 "watch"라는 것을 설정하는 것이 좋습니다. 이것이하는 일은 같은 파일 액세스 호출을 수행하려는 시도에 대한 보고서 커널 모듈 지시이다 open()또는 creat()파일이나 우리 목록 디렉토리를 가리키는 파일 핸들에.
이 작업을 수행하는 샘플 구성은 다음과 같습니다. 따라서 /etc/audit/audit.rules변경 사항을 적절하게 통합하려면 기존 내용을 읽고 이해해야합니다 .
# This file contains the auditctl rules that are loaded
# whenever the audit daemon is started via the initscripts.
# The rules are simply the parameters that would be passed
# to auditctl.
# First rule - delete all
-D
# Increase the buffers to survive stress events.
# Make this bigger for busy systems
-b 1024
-w /path/to/git/repos-p wa
# Disable adding any additional rules - note that adding *new* rules will require a reboot
-e 2