1. snoopy介紹
由于有非常多的linux服務(wù)器需要管理，為了審計(jì)管理員的操作，以確認(rèn)各自的職責(zé)，需要對(duì)linux服務(wù)器進(jìn)行審計(jì)，通過比較選擇了snoopy這個(gè)開源方案。
snoopy是一款可以記錄用戶執(zhí)行命令并輸出到文件的一款日志審計(jì)軟件。
GitHub地址：https://github.com/a2o/snoopy
2. snoopy安裝
[root@linux-node1 ~]# wget http://source.a2o.si/download/snoopy/snoopy-2.4.6.tar.gz
[root@linux-node1 ~]# tar xf snoopy-2.4.6.tar.gz
[root@linux-node1 ~]# cd snoopy-2.4.6/
[root@linux-node1 snoopy-2.4.6]# yum install -y socat
[root@linux-node1 snoopy-2.4.6]# ./configure --prefix=/usr/local/snoopy && make && make install
[root@linux-node1 snoopy-2.4.6]# /usr/local/snoopy/sbin/snoopy-enable
SNOOPY: Adding to /etc/ld.so.preload: /usr/local/snoopy/lib/libsnoopy.so
SNOOPY: Hint #1: Reboot your machine to load Snoopy system-wide.
SNOOPY: Hint #2: Check your log files for output.
SNOOPY: Enabled.
[root@linux-node1 snoopy-2.4.6]# cat /etc/ld.so.preload
/usr/local/snoopy/lib/libsnoopy.so
snoopy-enable,此時(shí)snoopy會(huì)在/etc/ld.so.preload添加/opt/snoopy/lib/libsnoopy.so,這個(gè)是語句是將snoopy自身的so預(yù)加載，已達(dá)到監(jiān)控系統(tǒng)的exec調(diào)用
查看輸出日志
Oct 16 11:15:38 linux-node1 snoopy[1287]: [uid:0 sid:1203 tty:/dev/pts/2 cwd:/root filename:/usr/bin/ps]: ps aux
Oct 16 11:20:01 linux-node1 snoopy[1293]: [uid:0 sid:1293 tty:(none) cwd:/root filename:/usr/lib64/sa/sa1]: /usr/lib64/sa/sa1 1 1
Oct 16 11:20:01 linux-node1 snoopy[1294]: [uid:0 sid:1292 tty:(none) cwd:/root filename:/usr/sbin/ntpdate]: /usr/sbin/ntpdate time1.aliyun.com
Oct 16 11:20:01 linux-node1 snoopy[1295]: [uid:0 sid:1293 tty:(none) cwd:/root filename:/usr/bin/date]: date +%d
Oct 16 11:20:01 linux-node1 snoopy[1296]: [uid:0 sid:1293 tty:(none) cwd:/root filename:/usr/bin/date]: date +%Y%m
3. snoopy配置
snoopy配置文件是/usr/local/snoopy/etc/snoopy.ini。
3.1. 過濾器鏈規(guī)范
必須遵守下列規(guī)則：
- 可以指定一個(gè)或多個(gè)過濾器，用分號(hào)分隔，
- 每個(gè)過濾器可能包含冒號(hào)后面的參數(shù)，
- 過濾器可以接受多個(gè)參數(shù)，用逗號(hào)分隔，
- 過濾器鏈不能包含任何空格（允許在過濾器參數(shù)中，但通常不允許）。
3.2. 可用過濾器列表
; - exclude_spawns_of ; (available=yes) Exclude log entries that occur in specified process trees 排除日志條目在指定進(jìn)程樹執(zhí)行的命令
; - exclude_uid ; (available=yes) Exclude these UIDs from logging 排除指定UID的用戶執(zhí)行的命令
; - only_root ; (available=yes) Only log root commands 只記錄root用戶執(zhí)行命令
; - only_tty ; (available=yes) Only log commands associated with a TTY 只有登錄tty相關(guān)命令
; - only_uid ; (available=yes) Only log commands executed by these UIDs 只記錄UID執(zhí)行命令
3.3. 定義的樣本定義
; - filter_chain = "exclude_uid:0" # Log all commands, except the ones executed by root 日志的所有命令，除了root用戶執(zhí)行的命令
; - filter_chain = "exclude_uid:1,2,3" # Log all commands, except those executed by users with UIDs 1, 2 and 3 日志記錄除了由1, 2和3的UID用戶執(zhí)行的命令
; - filter_chain = "only_uid:0" # Log only root commands 日志只有root執(zhí)行的命令
; - filter_chain = "exclude_spawns_of:cron,my_daemon" # Do not log commands spawned by cron or my_daemon 日志不記錄cron定時(shí)任務(wù)或守護(hù)進(jìn)程執(zhí)行的命令
; - filter_chain = "filter1:arg11;filter2:arg21,arg22;filter3:arg31,32,33"
;默認(rèn)值：
;""（空字符串）
3.4. 過濾配置實(shí)例
filter_chain = "exclude_uid:500" # 不記錄UID為500的用戶執(zhí)行的命令
filter_chain = "exclude_spawns_of:crond" # 不記錄定時(shí)任務(wù)中執(zhí)行的命令
filter_chain = "only_uid:0" # 只記錄UID為0執(zhí)行的命令
filter_chain = "exclude_uid:500;exclude_spawns_of:crond" # 指定多個(gè)過濾條件
