Linux记录用户操作日志

我这里计划用SLS做服务器日志审计&＃xff0c;安装Logtail后通过 [分隔符-文本] 的方式&＃xff0c;采集服务器各种相关日志&＃xff0c;大概需要以下内容(目录可能是错的&＃xff0c;这个是做等保的评测的兄弟发过来的)

/var/log/secure安全日志
/var/log/wtmp登录日志
/var/log/message报警日志
/var/log/boot.log启动日志
/var/log/maillog邮件日志
/var/log/cron crontab服务日志
/var/log/syslog事件记录监控程序日志
/var/log/history 用户操作日志

发现我们生产服务器并没有history这个文件&＃xff0c;于是网上搜了下&＃xff0c;做个转载/记录

修改 /etc/profile
在最底部添加如下内容

#set user history
history
USER&＃61;&＃96;whoami&＃96;
USER_IP&＃61;&＃96;who -u am i 2>/dev/null| awk &＃39;{print $NF}&＃39;|sed -e &＃39;s/[()]//g&＃39;&＃96;
if [ "$USER_IP" &＃61; "" ]; thenUSER_IP&＃61;&＃96;hostname&＃96;
fi
if [ ! -d /var/log/history ]; thenmkdir /var/log/historychmod 777 /var/log/history
fi
if [ ! -d /var/log/history/${LOGNAME} ]; thenmkdir /var/log/history/${LOGNAME}chown -R ${LOGNAME}:${LOGNAME} /var/log/history/${LOGNAME}chmod 770 /var/log/history/${LOGNAME}
fi
export HISTSIZE&＃61;4096
DT&＃61;&＃96;date &＃43;"%Y%m%d_%H:%M:%S"&＃96;
export HISTFILE&＃61;"/var/log/history/${LOGNAME}/${USER}&＃64;${USER_IP}_$DT.log"
chmod 660 /var/log/history/${LOGNAME}/*history* 2>/dev/null


查阅日志记录

感觉很OK