Unix系統使用者登入及操作命令日誌配置的方法
Unix作業系統有很多值得學習的地方，Unix系統使用者登入、操作命令日誌配置方法你瞭解多少呢?下面是相關的知識，歡迎閱讀。
在SOC、審計、4A等專案中，經常需要解析 Unix系統的登入日誌，以此進行分析使用者登入行為，特別是在4A專案中，需要判定繞過堡壘主機的登入行為及操作。對於Unix系統來說，預設的 syslog配置並不會記錄使用者的操作過程，只有一個結果的日誌。比如以下在Linux系統上新增使用者：
[root@RHEL2 ~]# useradd -m bashuser1
在系統日誌裡會有如下，顯示了以上命令的一個結果，但是對於命令本身是沒有日誌記錄在syslog中的。
Feb 19 11:21:39 RHEL2 useradd[3534]: new group: name=bashuser1, GID=503
Feb 19 11:21:39 RHEL2 useradd[3534]: new user: name=bashuser1, UID=502, GID=503, home=/home/bashuser1, shell=/bin/bash
對於登入日誌，其中Linux本身提供的'SSH、telnet日誌，其中包含源IP、登入帳戶等資訊。但是HP-UX、Solaris、AIX提供的telnet日誌是基於inetd的，日誌資訊中不包含登入帳戶資訊。如以下是Linux系統上telnet登入日誌：
Feb 19 11:11:17 RHEL2 login: pam_unix(remote:session): session opened for user root by (uid=0)
Feb 19 11:11:17 RHEL2 login: ROOT LOGIN ON pts/4 FROM
其中日誌資訊包含了登入使用者，登入IP，作為一個登入事件解析，變數是足夠的。但是對於HP-UX、Solaris、AIX提供的telnet日誌，只是一個session的建立日誌，只有登入IP，沒有登入使用者，作為登入事件解析就缺少了關鍵的使用者資訊：
Feb 19 11:11:13 RHEL2 xinetd[2354]: START: telnet pid=3414 from=
因此，本文提出一種方法，統一所有Unix系統(Linux、HP-UX、Solaris、AIX、SuSe)的登入(ssh、telnet、rlogin)日誌、操作命令日誌，可以作為系統日誌的有效補充。以下為配置好後的登入日誌內容：
<13>bashuser: class="HOST_LOGIN" type="2" time="2011-06-29 10:44:03" src_ip="" dst_ip="" primary_user="" secondary_user="bashuser" operation="" content="login successful" authen_status="Success" log_level="1" sessionid="12182"
<13>bashuser: class="HOST_COMMAND" type="3" time="2011-06-29 10:44:03" src_ip="" dst_ip="" primary_user="" secondary_user="bashuser" operation="uname -a" content="command" authen_status="" log_level="1" sessionid="12182"
日誌格式說明：
class:HOST_LOGIN，表示主機登入;HOST_COMMAND，表示主機操作命令;
time：使用者登入主機時間;
src_ip：登入源IP地址;
dst_ip：主機地址;
primary_user：主賬號，這個變數是引用堡壘主機的概念加的，在這裡會永遠為空值;
secondary_user：從賬號，也就是主機上的賬號，也是引用堡壘主機的概念加的;
operation：針對HOST_COMMAND類，是實際的操作命令內容;
content：表示結果，如登入成功或者命令;
session_id：這裡引用的變數是$$變數值;
可以根據實際需要增加刪除修改變數內容。
在講實際配置前，我們大概需要了解各個UnixLinux以下方面的知識：
——各Unix系統服務啟停、各Unix系統syslog配置;
——各Unix系統shell及shell啟動檔案;
——Login Shells, Interactive Shells;
——互動式shell和非互動式shell;
——Shell Setup Files — Which, Where, and Why
——In Unix, what startup and termination files do the various shells use?
——各Unix系統下的Shell程式設計、變數及引用、函式用法等
