原文地址：http://os.51cto.com/art/201106/266928.htm

將用戶執行的每個shell命令記入日志比最初想象的要來得困難。shell的歷史功能原本旨在幫助用戶使用以前用過的命令。我們都知道這種使用場合：你剛輸入了一個長長的字段，可是拼錯了一個字符。shell的歷史讓你可以改正這一個字符，而不必輸入其余的所有字符。

然而， shell歷史很難滿足審計的目的。換言之，它不是為了確保系統安全而設計的。

對于bash shell來說，問題顯得尤其困難，因為該shell的目的是，不管用什么辦法，盡可能為用戶簡化生活——所以，它擁有所有的“花哨功能”（bells and whistles）。必須顧及所有這些多種功能，并且防止對歷史文件進行更改。

Korn shell比較簡單，使得保護shell的歷史比較容易。

如果想要嚴加保管這些shell的歷史，需要執行一系列的步驟。

首先，鎖定shell的歷史文件本身。更改它的屬性，末尾只添加chattr +a .sh_history或chattr +a .bash_history。這樣一來，就不可能刪除或更改文件中的數據，連用戶都無法改變屬性——只有root用戶才能改變。

其次，確保歷史變量設置合理、無法更改。這些歷史變量包括最重要的HISTFILE、HISTCOMMAND和HISTIGNORE。要做到這一點，使用shell的typeset命令，帶-r選項，這使得指定的變量擁有只讀屬性。良好的操作規范是使所有歷史環境變量都變為只讀，比如：

export HISTCONTROL= export HISTFILE=$HOME/.bash_history export HISTFILESIZE=2000 export HISTIGNORE= export HISTSIZE=1000 export HISTTIMEFORMAT="%a %b %Y %T %z " typeset -r HISTCONTROL typeset -r HISTFILE typeset -r HISTFILESIZE typeset -r HISTIGNORE typeset -r HISTSIZE typeset -r HISTTIMEFORMAT

HISTTIMEFORMAT是bash shell的擴展，將在歷史文件中提供時間戳。

對于bash shell來說，你需要更改歷史的一些標準選項：

shopt -s cmdhist #設置cmdhist將把多行命令放入到單單一個歷史行 shopt -s histappend #設置histappend將確保被添加到歷史文件，而不是像通常的做法那樣覆蓋歷史文件。

另外對于bash shell來說，還要設置PROMPT_COMMAND：

PROMPT_COMMAND="history -a" typeset -r PROMPT_COMMAND

這是由于bash shell實際上把歷史寫入到內存中，歷史文件僅在shell會話結束時加以更新。這個命令會把上一個命令附加到磁盤上的歷史文件。

最后，創建一個SIGDEBUG陷阱，將命令發送到系統日志（syslog）。VMware的ESXi借助自己版本的ash shell已經具有這樣的功能。簡而言之，應創建一個把當前命令記入日志（從歷史文件獲取）的函數，然后用logger命令，把它發送到系統日志。這一步在bash shell和Korn Shell中都適用。

這些步驟有些冗長，不過在新版的bash和ksh中有一些新的功能特性，讓這一切變得極其容易。GNU Bash在4.1版中添加了記入到系統日志中的功能，只需要編譯shell的時候開啟該功能即可激活。

自推出ksh93以來，Korn Shell就一直具有審計功能。類似bash 4.1，用戶審計是一項編譯時功能。想看看你所用的ksh93版本是否安裝了審計功能，可以執行下列命令中的某一條：

echo ${.sh.version} echo $KSH_VERSION

在Ubuntu 10.10中，我得到了來自ksh93的這個輸出：

# echo ${.sh.version} Version JM 93t+ 2009-05-01

如果審計功能開啟，特征字符串（JM）還會有字母A（開啟審計功能），可能還有字母L（開啟針對用戶的審計功能）。IBM DeveloperWorks和Musings of an OS Plumber都刊有介紹Korn Shell審計的出色文章。

Bash shell含有審計功能的可能性也比較小。Ubuntu 10.10上的bash是4.1.5(1)版本。

對于仍在使用C shell（以及尤其是tsch）的用戶，tcsh有一個變種名為“tcsh-bofh”，它支持記入到系統日志中。遺憾的是，tcsh-bofh并沒有得到長期的維護。早在2010年1月，tcsh-bofh的FreeBSD端口就從FreeBSD端口樹（port tree）去除了。

上述信息也可以在shell之外獲取。比如有兩個命令：lastcomm（來自Ubuntu Main軟件倉庫中的acct程序包）和auditctl（來自Ubuntu Universe軟件倉庫中的auditd程序包）。另外， Linux Journal在2002年刊發過一篇關于Linux進程統計的好文章。另外還有rootsh和snoopylogger這兩個程序包，只是兩者都不在Ubuntu軟件倉庫中。Rootsh好比是typescript的執行版本，而snoopylogger是你可以添加到用戶環境的系統庫。（這些方法有許多來自在serverfault.com上所提的一個問題，請參閱這個帖子。）

總結

以上是生活随笔為你收集整理的完善Linux/UNIX审计 将每个shell命令记入日志的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。