Linux安全運維之如何活用history命令

作者分離本人多年豐厚的工作實戰經歷,以簡單、淺顯易懂方式講述了如何活用history命令

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

Linux系統下可通過history命令查看用戶所有的歷史操作記錄,在安全應急響應中起著非常重要的作用,但在未進行附加配置情況下,history命令只能查看用戶歷史操作記錄,并不能區分用戶以及操作時間,不便于審計分析。

當然,一些不好的操作習慣也可能通過命令歷史泄露敏感信息。

下面我們來介紹如何讓history日志記錄更細化,更便于我們審計分析。

1、命令歷史記錄中加時間

默認情況下如下圖所示,沒有命令執行時間,不利于審計分析。

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

通過設置export HISTTIMEFORMAT=’%F %T ‘,讓歷史記錄中帶上命令執行時間。

注意”%T”和后面的”’”之間有空格,不然查看歷史記錄的時候,時間和命令之間沒有分割。

要一勞永逸,這個配置可以寫在/etc/profile中,當然如果要對指定用戶做配置,這個配置可以寫在/home/$USER/.bash_profile中。

本文將以/etc/profile為例進行演示。

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

要使配置立即生效請執行source /etc/profile,我們再查看history記錄,可以看到記錄中帶上了命令執行時間。

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

如果想要實現更細化的記錄,比如登陸過系統的用戶、IP地址、操作命令以及操作時間一一對應,可以通過在/etc/profile里面加入以下代碼實現

export HISTTIMEFORMAT=”%F %Twho -u am i 2>/dev/null| awk ‘{print $NF}’|sed -e ‘s/[()]//g’

whoami”,注意空格都是必須的。

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

修改/etc/profile并加載后,history記錄如下,時間、IP、用戶及執行的命令都一一對應。

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

通過以上配置,我們基本上可以滿足日常的審計工作了,但了解系統的朋友應該很容易看出來,這種方法只是設置了環境變量,攻擊者unset掉這個環境變量,或者直接刪除命令歷史,對于安全應急來說,這無疑是一個災難。

針對這樣的問題,我們應該如何應對,下面才是我們今天的重點,通過修改bash源碼,讓history記錄通過syslog發送到遠程logserver中,大大增加了攻擊者對history記錄完整性破壞的難度。

2、修改bash源碼,支持syslog記錄

首先下載bash源碼,可以從gnu.org下載,這里不做詳細說明了,系統需要安裝gcc等編譯環境。我們用bash4.4版本做演示。

修改源碼:bashhist.c

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

修改源碼config-top.h,取消/#define SYSLOG_HISTORY/這行的注釋

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

編譯安裝,編譯過程不做詳細說明,本文中使用的編譯參數為: ./configure –prefix=/usr/local/bash,安裝成功后對應目錄如下:

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

此時可以修改/etc/passwd中用戶shell環境,也可以用編譯好的文件直接替換原有的bash二進制文件,但最好對原文件做好備份。

替換時要注意兩點:

1、一定要給可執行權限,默認是有的,不過有時候下載到windows系統后,再上傳就沒有可執行權限了,這里一定要確定,不然你會后悔的;

2、替換時原bash被占用,可以修改原用戶的bash環境后再進行替換。

查看效果,我們發現history記錄已經寫到了/var/log/message中。

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

如果要寫到遠程logserver,需要配置syslog服務,具體配置這里不做詳細講解,大家自己研究,發送到遠端logserver效果如下圖所示。

Linux安全運維丨誰動了我的主機?活用History命令

懸鏡linux運維

經過以上操作,能夠有效保證history記載的完好性,防止攻擊者登錄系統后,經過取消環境變量、刪除history記載等方式抹掉操作行為,為平安審計、應急響應等提供了完好的原始數據。

 

馬哥學習交流群

馬哥教育-Linux學習-1群 485374463

馬哥教育-Linux學習-2群 339184057

?

相關新聞

聯系我們

400-080-6560

在線咨詢:點擊這里給我發消息

郵件:[email protected]

工作時間:周一至周日,09:00-18:30

QR code
云南快乐10分开奖直播