Логгирование SSH комманд в debian lenny

Question

[infi]

Есть сервер с дебианом, периодически туда под рутом заходят люди и выполняют определенные действия, вопрос: как лучше всего сделать, чтобы были записаны в лог все комманды которые вводились по SSH? (OpenSSH5)

Answer 1

[Владимир Чернышев]

Посмотрите Snoopy Logger или grsecurity.

Из пушки по воробьям, конечно, но, вроде, вашу задачу должны решить

Comments

[infi]

Вот, snoopy это именно то, что я хотел! :) Спасибо.
Поставил плюс в карму всем кто пытался мне помочь!

[Sergey]

а еще есть такая кнопочка «решение» над каждым ответом. Выберите нужный.

Answer 2

[Yoda33]

Руту можно всё. Андерстенд?

Comments

[Yoda33]

Если цель — поймать за руку нехорошего человека, то он легко сделает так, что вы его не поймаете.

Answer 3

[Dmitry Koshelenko]

В debian'e вроде по умолчанию ssh пишет в /var/log/auth.log…

Comments

[infi]

Он пишет только кто авторизировался и когда, а мне нужен полный лог.

Answer 4

[Bodik]

На CentOS делал через /root/.bashrc таким образом:

export HISTTIMEFORMAT='%Y.%m.%d-%T :: ' HISTFILESIZE=5000 HISTSIZE=5000
export HISTCONTROL=erasedups
PROMPT_COMMAND='history 1 >> /${HOME}/.allhist'

С Debian я работал мало, но думаю разница не большая будет.

Comments

[Sannis]

Это можно переопределить под пользователем, так?

[Bodik]

да, в .bashrc в домашней директории пользователя.
Соответственно история пишется с датой в .allhist
файлы не ротейтятся, но как правило ростут очень медленно

[Sannis]

А значит как вариант слежения за пользователями это не подойдёт :(

Answer 5

[bagyr]

blog.rootshell.be/2009/02/28/bash-history-to-syslog/

Comments

[pentarh]

Скорей всего, без дополнительных глубоких копаний в syslog.conf и logrotate.conf, команды рута влетят в файлы, доступные на чтение world'у.

Хреновая затея.

[bagyr]

Проверить не могу, но там, вроде, любую команду использовать вместо logger можно, хоть в twitter отправляй.

Answer 6

[Владимир Чернышев]

Отпишитесь потом как успехи :)

Answer 7

[PingMe]

У нас все такое отправлялось syslog'ом на соседний сервер :)