Получение auditd для записи исходного пользователя
Я использую птицу на нескольких узлах Передачи любому из узлов и устойчивости, и простота конфигурации была превосходна.
На наших обычных маршрутизаторах мы используем Vyatta, и я желаю, чтобы они заменили бы демона пограничного межсетевого протокола там птицей.:-)
Как указано здесь :
Использование сеанса
требует pam_loginuid.so
во всех связанных с входом в систему Файлы конфигурации PAM (не для su и sudo) позволят auditd записывать uid вызывающего пользователя в поле auid .
Вы можете выполнить поиск auditd журналы для этого идентификатора с
ausearch -ua
, что дает все команды, введенные пользователем, даже при выдаче себя за другую учетную запись.
Информация, которую вы запрашиваете, к счастью, уже включена в журналы. Конкретное поле, которое вы хотите найти, - это aud . Из справочной страницы для auditctl :
auid Исходный идентификатор, с которым пользователь вошел в систему. Это аббревиатура аудит uid. Иногда его называют loginuid. Или можно использовать текст или номер учетной записи пользователя. что соответствует uid моей учетной записи.Для получения дополнительных сведений о приведенном выше примере, а также краткого описания auditd, ознакомьтесь с этим сообщением в блоге IT Security блоггера сообщества (я), творчески озаглавленного Краткое введение в Auditd .
Команда
ausearch, упомянутая fuero, является частью набора приложений, используемых для поиска и создания отчетов по этим довольно подробным журналам.