ttyrec - Ferramenta para auditoria de sistemas Linux
Bom dia pessoal, neste artigo vamos aprender o uso da ferramenta ttyrec, que nos possibilita gravar as atividades
realizadas pelo usuários.
realizadas pelo usuários.
Parte 2: Teste e script de automação
Agora o melhor da história, verificar se o software funciona conforme nossas configurações.
Como root, abra algum terminal em seu servidor .
Obs.: Acho interessante testar o software primeiro numa máquina virtual, e funcionando sem problemas, aí sim instalar no sistema em produção.
# ttyrec -u arquivoteste.rec
Após esse comando parece que não aconteceu nada. Porém após isso, dentro do diretório de uso atual irá aparecer um arquivo chamado arquivoteste.rec e o ttyrec já estará gravando tudo que for feito no terminal.
Execute outros comandos em seu servidor, com por exemplo history, df, fdisk -l, iptables -nL etc.
Depois disso você deve digitar exit para sair do ttyrec.
Vamos verificar o que foi gravado:
# ttyplay arquivoteste.rec
Outra opção é acompanhar a saída deste arquivo com:
# tail -f arquivoteste.rec
Se tudo ocorreu bem com o processo acima, vamos automatizar deixando um script que faça o ttyrec gravar todos os terminais dos usuários que se conectarem em teu sistema.
Crie o diretório /root/audit/ttyrec com permissão 777 para que todos os usuários possam escrever dentro dele.
# mkdir /root/audit/ttyrec
# chmod 777 /root/audit/ttyrec
Para garantia que não ocorra problema dentro do seu arquivo /etc/profile, faça uma cópia do mesmo:
# cp /etc/profile /root/profile.bkp
Após isso edite o mesmo com o seu editor preferido, no meu caso usei o vim, adicionando o conteúdo abaixo após a última linha do arquivo:
# vim /etc/profile
Chegamos no final desse artigo, agora toda vez que algum usuário fizer algum acesso em seu servidor, o histórico será armazenado num arquivo dentro de /root/audit/ttyrec, com as gravações com hora e data.
Espero que esteja bem explicado, pois é minha primeira contribuição aqui no VOL.
Boa sorte a todos!
Como root, abra algum terminal em seu servidor .
Obs.: Acho interessante testar o software primeiro numa máquina virtual, e funcionando sem problemas, aí sim instalar no sistema em produção.
# ttyrec -u arquivoteste.rec
Após esse comando parece que não aconteceu nada. Porém após isso, dentro do diretório de uso atual irá aparecer um arquivo chamado arquivoteste.rec e o ttyrec já estará gravando tudo que for feito no terminal.
Execute outros comandos em seu servidor, com por exemplo history, df, fdisk -l, iptables -nL etc.
Depois disso você deve digitar exit para sair do ttyrec.
Vamos verificar o que foi gravado:
# ttyplay arquivoteste.rec
Outra opção é acompanhar a saída deste arquivo com:
# tail -f arquivoteste.rec
Se tudo ocorreu bem com o processo acima, vamos automatizar deixando um script que faça o ttyrec gravar todos os terminais dos usuários que se conectarem em teu sistema.
Crie o diretório /root/audit/ttyrec com permissão 777 para que todos os usuários possam escrever dentro dele.
# mkdir /root/audit/ttyrec
# chmod 777 /root/audit/ttyrec
Para garantia que não ocorra problema dentro do seu arquivo /etc/profile, faça uma cópia do mesmo:
# cp /etc/profile /root/profile.bkp
Após isso edite o mesmo com o seu editor preferido, no meu caso usei o vim, adicionando o conteúdo abaixo após a última linha do arquivo:
# vim /etc/profile
if arquivoteste `id -u` != 0
then
TTYFORMAT="/root/audit/ttyrec/${LOGNAME}-${HOSTNAME}-`date +%H-%M--%d-%m-%Y`.rec"
ttyrec -u $TTYFORMAT
fi
Chegamos no final desse artigo, agora toda vez que algum usuário fizer algum acesso em seu servidor, o histórico será armazenado num arquivo dentro de /root/audit/ttyrec, com as gravações com hora e data.
Espero que esteja bem explicado, pois é minha primeira contribuição aqui no VOL.
Boa sorte a todos!
O software e simples porem eficiente.