Terminal mitprotokollieren

[ddd123]

Hi,

ich habe folgendes Problem. Zur Systemueberwachnung moechte ich gerne wissen, was ein bestimmter Benutzer auf unseren Servern tut. Mit who bekomme ich eine Auflistung der Benutzer inkl. des Terminals.

z.B.
user1 pts/1 blabla

Jetzt habe ich mir ueberlegt, das ich dieses Terminal pts/1 klonen und in eine Datei umleiten kann. So sehe ich alle Eingaben die er gemacht hat, und fuer mich auch besonders wichtig, welche Informationen er zurueckbekommen hat. Es waere viel bequemer als mit syslog usw. zu arbeiten und zu filtern. Hat jemand dahingehend eine Idee?

[Snoopy]

Hi

Ich hoffe, dass Du bzgl Datenschutz und dieser Überwachung, rechtlich gesehen, nicht unbedingt im legalen dich bewegst.

Es sein denn, so etwas ist abgesegnet...

[comes]

snoopy hat schon ganz recht, so ganz rechtlich einwandfrei ist das nicht.

unabhängig davon, jeder benutzer hat eine .bash_history in der wird protokolliert, welche eingaben gemacht worden sind...

[goeb]

Abgesehen davon daß der Benutzer die .bash_history löschen kann kann er sie auch gleich ganz abschalten. Zuverlässig ist das also nicht.

[ddd123]

Hallo again,

ja da habt ihr recht, die bash_history waere ein Anlaufpunkt. Ich schaue mir aber auch regelmaessig die Logfiles an.

Ich hoffe jetzt nur, das es nicht verboten ist, sich logfiles anzuschauen. Alle Infos die ich brauche bekomme ich schon. Hier ging es nur darum, dass ich die Idee hatte, dass dies ein eleganterer und einfacherer Weg waere, als die Infos aus verschiedenen log-files zusammenzutragen.

[Mr_Snede]

Es gibt ein Programm, das die Bash mitloggt.
Aaaaaber ich habe den Namen vergessen

In der Erklärung an die ich mich erinnere ging es darum einen Arbeitsablauf innerhalb der Shell zu visualisieren - ein Screencast eben nur für die Konsole. Mit Eingaben des Benutzers und Ausgaben der Programme.

Edit:
Keine Ahnung, ob es das war, an was ich mich erinnere, geht aber schon mal in die Richtung:
http://linuxwiki.de/Bash --> suche mal nach script und replay

[meandtheshell]

evening folks

- zur Sache mit der bash_history: ln -s /dev/null /root/.bash_history

- generell, alles logging im Userspace hilft evtl. bei einem "normal" versierten Angreifer. Also eine Person mit Fähigkeiten zwischen script kiddie und outstanding black hat. Im Grunde ist es aber so das das Userspace logging im Sinne von profiling von erfolgten Angriffen oder für ein allgemeines auditing völlig unbrauchbar ist, da es ein jeder der auf Code Ebene auffährt, es ausschalten/verändern kann wie er es benötigt - Mann gegen Maus (sed -i s/maus/your_systems/g your_LAN)

- ich rate daher auf Kernelebene zu sichern bzw. audit Maßnahmen zu setzen. Hier ein .config eines prisitine kernel source trees gepatched mit einem Linux-VServer + Greater Security Patch http://nopaste.debianforum.de/4379

- darüber hinaus könnte man http://www.honeynet.org/tools/sebek/ verwenden

Alles was an Mann und Maus dann noch fähig ist weiter vorzudringen hat es reichlich verdient und für diese Fälle hilft wohl nur pull the plug (funny denn dazu gibt es eine gleichnamige website http://www.pulltheplug.org/) oder sich dem Mann oder auch der Maus persönlich unter Einsatz ganz abgefahrener moves in den Weg zu stellen - yay!

markus

[Mr_Snede]

http://www.uvena.de/projects:esh

Der Autor Ist auch hier im Forum aktiv unter dem Namen deadeye