انجمن‌های فارسی اوبونتو

لطفاً به انجمن‌ها وارد شده و یا جهت ورود ثبت‌نام نمائید

لطفاً جهت ورود نام کاربری و رمز عبورتان را وارد نمائید

نویسنده موضوع: در auditd قسمتی از دستور اجرا شده را فقط نشان می دهد  (دفعات بازدید: 193 بار)

0 کاربر و 1 مهمان درحال مشاهده موضوع.

آفلاین پیام

  • Sr. Member
  • *
  • ارسال: 347
سلام و خسته نباشید به دوستان عزیز

یه مشکلی پیش اومده که واقعا نمی دونم چیکارش باید کرد
auditd  یک لاگ مونیتورینگه که برای ارسال به SIEM  استفاده می شه و میشه رولهایی رو توش ست کرد که ارسال لاگ را اختصاصی تر کنی

مشکل اینجاست که وقتی میخوای یک کامندی رو اجرا کنی  مثل این
 
cat /etc/shadow > /tmp/text.txtقسمت بعد از ریدایرکشن رو نشون نمیده یعنی
 > /tmp/text.txtنشون نمیده
میشه پروفایل رو تغییر داد و کاری کرد که نشون بده  مثل این راه حل
Edit /etc/profile and add the following lines to the bottom of the file:

# command line audit logging
function log2syslog
{
   declare COMMAND
   COMMAND=$(fc -ln -0)
   logger -p local1.notice -t bash -i -- "${USER}:${COMMAND}"
}
trap log2syslog DEBUG


Save and exit /etc/profile
Edit /etc/rsyslog.conf and add the following lines to the bottom of the file:

# command line audit logging
local1.* -/var/log/auditlogging


Save and exit /etc/rsyslog.conf


#systemctl restart rsyslog

/var/log/auditlogging
میشه اون کامند رو دید یعنی کاملش میکنه
مشکل اینه که وقتی شل رو عوض میکنی مثلا میزاری zsh  یا  csh  دیگه چیزی نشون نمیده



« آخرین ویرایش: 06 اردیبهشت 1401، 01:47 ب‌ظ توسط پیام »

آفلاین Dragon-

  • عضو کاربران ایرانی اوبونتو
  • *
  • ارسال: 3450
  • جنسیت : پسر
فکر کنم مشکل از دستور fc باشه. مطمئن نیستم.

این چیزی که الان میگم، فکر نکنم بتونه مشکل رو حل کنه.
می‌تونید تگی که توی گزارش‌ها نمایش داده میشه رو نسبت به پوسته‌ای (shell) که استفاده شده تنظیم کنید. اینجوری:
logger -p local1.notice  -t "${SHELL}" -i -- "${USER}:${COMMAND}"
اگه می‌خواهید فقط اسم پوسته نمایش داده بشه، می‌تونید مقدار SHELL رو بدید به basename. اینجوری:
logger -p local1.notice  -t "$(basename "${SHELL}")" -i -- "${USER}:${COMMAND}"
به غیر از چیز‌های بالا فکر کنم خیلی راحت بشه این چیزی که پیاده کردید رو دور زد. مثلا برای bash اینجوری:
env bash --norc --noprofile
میدونید که زکات علم نشر آن است

آفلاین پیام

  • Sr. Member
  • *
  • ارسال: 347
امکان دور خوردنش خیلی زیاده و طبق موردی که شما عنوان کردید هم قابل دور زدنش وجود داره

آیا کسی نرم افزار جایگزین داره ؟