在 Linux 系統(tǒng)中，acct（即 “accounting”）是一個用于跟蹤用戶行為的工具
安裝 acct：
對于基于 Debian 的系統(tǒng)（如 Ubuntu），請使用以下命令安裝：
sudo apt-get install acct
對于基于 RHEL 的系統(tǒng)（如 CentOS、Fedora），請使用以下命令安裝：
sudo yum install psacct
啟用進(jìn)程審計：
要啟用進(jìn)程審計，您需要編輯 /etc/default/grub 文件。在 GRUB_CMDLINE_LINUX 行中添加 audit=1，然后保存并退出。例如：
GRUB_CMDLINE_LINUX="quiet splash audit=1"
接下來，更新 GRUB 配置并重啟系統(tǒng)：
sudo update-grub
sudo reboot
配置 auditd：
編輯 /etc/audit/audit.rules 文件，添加以下行以啟用對相關(guān)事件的審計：
-a exit,always -F arch=b64 -S execve
-a exit,always -F arch=b32 -S execve
這將記錄所有 64 位和 32 位程序的執(zhí)行。保存并退出。
重啟 auditd 服務(wù)：
sudo systemctl restart auditd
查看審計日志： 要查看審計日志，請使用以下命令：
sudo ausearch -m execve
這將顯示所有已記錄的程序執(zhí)行事件。
通過這些步驟，您可以在 Linux 系統(tǒng)上追蹤用戶行為。請注意，這僅是一個簡單的示例，您可能需要根據(jù)您的需求調(diào)整審計規(guī)則。要了解更多關(guān)于 auditd 和審計規(guī)則的信息，請參閱 auditd 手冊頁 和 audit.rules 手冊頁。
億速云公眾號
手機(jī)網(wǎng)站二維碼