🔍 Логирование и аудит действий пользователей в Linux

📌 Мониторинг активности пользователей — ключевой аспект безопасности системы. Разбираем инструменты: auditd, last, who, w, history.


🛡 auditd — мощный инструмент аудита
💾 Логи: /var/log/audit/audit.log
🔧 Настройка:
- Запуск и проверка статуса:

  systemctl start auditd
  systemctl enable auditd
  systemctl status auditd
  

- Добавление правила аудита (отслеживание изменений файла /etc/passwd):

  auditctl -w /etc/passwd -p wa -k passwd_changes
  

- Просмотр лога:

  ausearch -k passwd_changes
  

- Фильтрация по пользователю (UID 1000):

  ausearch -ua 1000
  

🔙 last — история входов в систему
- Показать список последних входов:

  last
  

- Фильтр по пользователю:

  last username
  

- Проверка перезагрузок:

  last reboot
  

🕵 who — активные пользователи
- Кто в системе сейчас:

  who
  

- Подробная информация:

  who -a
  

📊 w — активность пользователей
- Кто в системе и что делает:

  w
  

- Разбор вывода:
- USER — имя пользователя
- TTY — терминал
- IDLE — время бездействия
- COMMAND — выполняемая команда



📜 history — история команд
- Просмотр истории:

  history
  

- Очистка истории:

  history -c && history -w
  

- Логирование всех команд в реальном времени (добавить в ~/.bashrc):

  export HISTTIMEFORMAT="%d/%m/%y %T "
  export PROMPT_COMMAND="history -a"
  

✍ Сохраняй и делись с коллегами! 🚀

👉 @sysadmin1