背景：公司的審計(jì)日志經(jīng)常出現(xiàn)不記錄命令的情況，但是又無法監(jiān)控到審計(jì)功能是否正常。所以我們思路是，每天從CMDB服務(wù)器 ssh登錄到每一臺(tái)主機(jī)。如果審計(jì)功能正常，則一定會(huì)在auditlog.info文件中有登錄的記錄。如果24小時(shí)內(nèi)這個(gè)文件沒有任何變化，則表明，該主機(jī)的audit功能異常，無法記錄日志了。?

創(chuàng)建登錄腳本

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21

#!/usr/bin/env?python2.7 import?commands,requests,json #host_ip?=?'10.47.102.185' url?=?'http://10.47.102.185/api/ecs' r?=?requests.get(url) ecss?=?json.loads(r.text) for?I?in?ecss: ????host_ip?=?I.get('ip') #????if?host_ip?!=?'10.174.107.151': ????status,result?=?commands.getstatusoutput('ssh?-o?ConnectTimeout=3?-o?StrictHostKeyChecking=no?root@{0}?"echo?\"audit?check\""'.format(host_ip)) ????if?status?==?0: ????????print?'{0}?check?success'.format(host_ip) ????else: ????????print?'{0}?check?failed'.format(host_ip)

ConnectTimeout=3 ? 表示超時(shí)時(shí)間為3秒

1	StrictHostKeyChecking

首次 ssh 登陸時(shí)提示確認(rèn) yes/no，確認(rèn) yes 后會(huì)把遠(yuǎn)程節(jié)點(diǎn)加入到本地的 ~/.ssh/known_hosts 中，下次再連接同一節(jié)點(diǎn)則不再提示。為了省事不確認(rèn)，可以使用如下參數(shù)登陸

? ??ssh -o StrictHostKeyChecking=no ?...

這樣便不再確認(rèn)且自動(dòng)把遠(yuǎn)程主機(jī)的信息添加到 ~/.ssh/known_hosts 中。

創(chuàng)建每天定時(shí)任務(wù)：

1	10?1?*?*?*?root?/usr/bin/python2.7?/srv/script/audit_check.py

Trigger:

1	{Template?OS?Linux:vfs.file.cksum[/var/log/userlog.info].diff(0)}=0

本文轉(zhuǎn)自 曾哥最愛 51CTO博客，原文鏈接：http://blog.51cto.com/zengestudy/1835652，如需轉(zhuǎn)載請(qǐng)自行聯(lián)系原作者

總結(jié)

以上是生活随笔為你收集整理的审计日志功能监控的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。