0x00 背景

最近，有個(gè)IT的同事給我提了一個(gè)需求，說想監(jiān)控/root/.ssh/ 文件夾下的文件變動(dòng)，于是我靈機(jī)一動(dòng)，這個(gè)需求只要對執(zhí)行過的歷史命令做審計(jì)就可以了。

0x01 實(shí)踐

我實(shí)現(xiàn)這個(gè)功能使用 rsyslog 和 firewalld 兩個(gè)組件。

我的設(shè)計(jì)是把命令history 轉(zhuǎn)發(fā)到/usr/share/commands.log這個(gè)文件，再對這個(gè)文件監(jiān)控。

export PROMPT_COMMAND='history 1 >> /usr/share/commands.log'

這個(gè)命令是臨時(shí)的，只對當(dāng)前會(huì)話可以記錄。

如果想永久重定向，執(zhí)行下面的命令

vi ~/.bashrc;?export PROMPT_COMMAND='history 1 >> /usr/share/commands.log'; source ~/.bashrc

?然后開始配置文件通過syslog配置輪轉(zhuǎn)到 /var/log/firewalld.log，按照下面命令修改配置

vi /etc/rsyslog.d/commands.conf

# Load the imfile module
module(load="imfile")

# Monitor /usr/share/commands.log
input(type="imfile"
? ? ? File="/usr/share/commands.log"
? ? ? Tag="commands-log"
? ? ? Severity="info"
? ? ? Facility="local7")

# Send logs to /var/log/firewalld.log
local7.* /var/log/firewalld.log

重啟 syslog服務(wù)?

systemctl restart rsyslog

當(dāng)然，需要確保 firewall 處于開啟狀態(tài)

提供一份簡單的檢查firewall 狀態(tài)代碼

systemctl status firewalld
#開啟firewalld Block 日志
firewall-cmd --set-log-denied=all????????????????????????????????????????????????????????????????????????????????????????????????
echo "Kern.* /var/log/firewalld.log">> /etc/rsyslog.d/firewalld.conf????????????????????????????????????????????
sed -i '3a /var/log/firewalld.log' /etc/logrotate.d/syslog???????#第三行后面追加 ???
systemctl restart rsyslog ??
#設(shè)定本機(jī)使用public安全區(qū)??????????????????????????????????????????????????????????????????????????????????????????????????????
firewall-cmd --set-default-zone=public????????????????????????????????????????????????????????????????????????????????????
#設(shè)定堡壘機(jī)網(wǎng)段 ??????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="10.xx.x.xx/26" service name="ssh" accept" ?
#添加/移除對外開放的端口號?????????????????????????????????????????????????????????????????????????????????????????????????
firewall-cmd --permanent --add-port 443/tcp?
firewall-cmd --add-port 137/udp --permanent
firewall-cmd --add-source 127.0.0.1/8 --permanent
firewall-cmd --add-source 0.0.0.0 --permanent?
firewall-cmd --remove-port 22/tcp --permanent?
#添加服務(wù)IP白名單????????????????????????????????????????????????????????????????????????????????????????????????????????????????????
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.x.xx" accept"
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="10.xx.x.xx" port protocol="tcp" port="8089" accept" ?
#reload
firewall-cmd --reload????????????????????????????????????????????????????????????????????????????????????????????????????
firewall-cmd --list-all?
#開機(jī)自啟動(dòng)
systemctl enable firewalld

只要監(jiān)控這個(gè)文件即可，不止有firewalld.log 還有command history，可以根據(jù)需求自由添加。