LinuxForum.Fans
Тема

Настройка логирования SSH сесии

Автор: mil612 14 сообщений 6451 просмотров
03.02.2012 11:33 #226481

Проблема в отсутствии каких-либо логов ssh сессий, в папке /var/log файла auth.log нет, хотя при входе в инете никак найду простой инструкции по настройке создания логов ssh, может кто подскажет как?

03.02.2012 11:34 #226482

avaddon66, а что за логгер? Покажите его конфигурационный файл.

03.02.2012 11:43 #226486
Lupo Alberto написал:
avaddon66, а что за логгер? Покажите его конфигурационный файл.

да в том то и дело, что система должна сама логировать стандартными средствами, а вот где они и как настроить не знаю
в консоли при входе пишется
[console]login as: admin
admin@10.10.10.10's password:
Last login: Fri Jan 27 08:50:37 2012 20.20.20.20
Linux 2.6.27.7-smp.
[/console]
а где в логах это посмотреть? может до этого кто еще заходил

03.02.2012 11:45 #226488
avaddon66 написал:
да в том то и дело, что система должна сама логировать стандартными средствами,

Что за система? Я вот не помню, в Slackware по умолчанию, какой логгер установлен?
Покажите вывод команд

text

ps aux | grep log
text

ls -lR /var/log
03.02.2012 11:47 · отредактировано #226489

команда last покажет кто был в последнее время и не только.
а так же наличие записей в файлах
/var/log/audit/audit.log
/var/log/secure

03.02.2012 11:48 #226490

система Slackware 12.2
вывод команды следущий
[console]root@test_sumo:/# ps aux | grep log
root 289 0.0 0.0 0 0 ? S< Jan27 0:00 [xfslogd/0]
root 2307 0.0 0.1 1748 620 ? Ss Jan27 0:13 /usr/sbin/syslogd
root 2317 0.0 0.0 1704 432 ? Ss Jan27 0:00 /usr/sbin/klogd -c 3 -x
mysql 2826 0.0 7.8 376912 40048 ? Sl Jan27 9:35 /usr/local/libexec/mysqld --basedir=/usr/local --datadir=/var/db/mysql --user=mysql --log-error=/var/db/mysql/test_sumo.err --pid-file=/var/run/mysql/mysql.pid --socket=/tmp/mysql.sock --port=3306
root 29340 0.0 0.1 2284 856 pts/3 S+ 11:47 0:00 grep log
[/console]

03.02.2012 11:49 #226492
avaddon66 написал:
может до этого кто еще заходил

Введите команду

text

lastlog
03.02.2012 11:52 #226493
i2ks написал:
команда last покажет кто был в последнее время и не только.
а так же наличие записей в файлах
/var/log/audit/audit.log
/var/log/secure

такой файл /var/log/audit/audit.log отсутствует
в /var/log/secure почему-то последняя запись датируется 31 января, а последующие записи отсутствует

03.02.2012 11:54 #226494

команда last выдало следущее

Показать
[console]admin ftpd30368 10.60.15.155 Tue Jan 31 12:13 - 12:13 (00:00)
admin ftpd17562 192.168.221.29 Mon Jan 30 16:05 - 16:05 (00:00)
admin ftpd17561 192.168.221.29 Mon Jan 30 16:05 - 16:05 (00:00)
admin ftpd17526 192.168.221.29 Mon Jan 30 16:04 - 16:05 (00:00)
admin ftpd17522 10.60.15.155 Mon Jan 30 16:04 - 16:05 (00:01)
admin ftpd17485 10.60.15.155 Mon Jan 30 16:03 - 16:03 (00:00)
admin ftpd17481 192.168.221.29 Mon Jan 30 16:03 - 16:04 (00:01)
admin pts/2 10.60.15.155 Fri Jan 27 09:20 still logged in
admin pts/0 :0.0 Fri Jan 27 08:50 still logged in
admin :0 Fri Jan 27 08:50 still logged in
reboot system boot 2.6.27.7-smp Fri Jan 27 08:48 (7+02:59)
admin pts/2 10.60.15.155 Fri Jan 27 08:39 - 08:47 (00:07)
admin pts/0 :0.0 Fri Jan 27 08:38 - down (00:09)
admin :0 Fri Jan 27 08:38 - down (00:09)
reboot system boot 2.6.27.7-smp Fri Jan 27 08:35 (00:12)
admin ftpd2113 10.60.15.155 Fri Jan 27 08:25 - 08:26 (00:00)
admin pts/2 10.60.15.155 Thu Jan 26 20:17 - down (12:16)
admin pts/0 :0.0 Thu Jan 26 20:13 - down (12:21)
admin :0 Thu Jan 26 20:13 - down (12:21)
reboot system boot 2.6.27.7-smp Thu Jan 26 20:10 (12:23)
admin pts/0 :0.0 Thu Jan 26 16:43 - 20:09 (03:26)
admin pts/1 10.60.15.155 Thu Jan 26 13:58 - down (06:11)
admin pts/0 :0.0 Thu Jan 26 13:58 - 16:43 (02:45)
admin :0 Thu Jan 26 13:57 - down (06:11)
reboot system boot 2.6.27.7-smp Thu Jan 26 13:54 (06:15)
admin ftpd2927 10.60.15.155 Thu Jan 26 13:27 - 13:28 (00:01)
admin ftpd2807 10.60.15.155 Thu Jan 26 13:24 - 13:24 (00:00)
admin ftpd13640 10.60.15.155 Tue Jan 24 08:01 - 08:01 (00:00)
admin ftpd18921 10.60.15.155 Fri Jan 20 19:00 - 19:00 (00:00)
admin pts/6 10.116.15.196 Fri Jan 20 14:00 - 14:01 (00:01)
admin pts/6 10.116.15.195 Fri Jan 20 12:51 - 12:51 (00:00)
admin pts/7 192.168.221.224 Fri Jan 20 12:50 - 12:50 (00:00)
admin pts/6 10.116.15.195 Fri Jan 20 12:48 - 12:50 (00:02)
admin pts/4 10.60.15.155 Fri Jan 20 10:40 - 13:53 (6+03:13)
admin pts/4 192.168.221.224 Fri Jan 20 09:09 - 09:09 (00:00)
admin pts/2 10.60.15.155 Fri Jan 20 09:04 - 15:40 (06:36)
admin pts/2 10.116.15.194 Thu Jan 19 22:10 - 22:11 (00:00)
admin pts/2 10.116.15.195 Thu Jan 19 22:10 - 22:10 (00:00)
admin pts/2 10.116.15.195 Thu Jan 19 22:05 - 22:05 (00:00)
admin pts/2 10.116.15.194 Thu Jan 19 22:04 - 22:04 (00:00)
admin pts/2 10.116.15.194 Thu Jan 19 21:58 - 21:58 (00:00)
admin pts/0 :0.0 Thu Jan 19 21:53 - 13:53 (6+16:00)
admin :0 Thu Jan 19 21:52 - down (6+16:01)
reboot system boot 2.6.27.7-smp Thu Jan 19 21:43 (6+16:10)
admin pts/2 10.60.15.155 Thu Jan 19 20:56 - down (00:46)
admin pts/0 :0.0 Thu Jan 19 16:51 - down (04:51)
admin :0 Thu Jan 19 16:51 - down (04:51)
reboot system boot 2.6.27.7-smp Thu Jan 19 16:48 (04:54)
admin pts/0 10.60.15.168 Thu Jan 19 13:06 - 13:06 (00:00)
admin ftpd8972 10.60.15.155 Thu Jan 19 12:05 - 12:06 (00:00)
admin ftpd7273 10.60.15.155 Thu Jan 19 11:27 - 11:27 (00:00)
admin pts/2 :0.0 Thu Jan 19 08:40 - 16:47 (08:06)
admin ftpd22987 10.60.15.155 Thu Jan 19 04:14 - 04:14 (00:00)
admin pts/0 10.60.15.155 Wed Jan 18 11:07 - 12:49 (1+01:42)
admin pts/0 :0.0 Wed Jan 18 09:10 - 09:12 (00:02)
admin pts/1 :0.0 Wed Jan 18 08:39 - 08:43 (00:03)
admin pts/0 :0.0 Wed Jan 18 08:38 - 08:43 (00:04)
admin ftpd8767 10.60.15.155 Wed Jan 18 07:54 - 07:54 (00:00)
admin pts/3 :0.0 Wed Jan 18 07:38 - 08:04 (00:26)
admin ftpd4294 10.60.15.155 Wed Jan 18 07:29 - 07:32 (00:02)
admin pts/0 :0.0 Wed Jan 18 07:14 - 08:04 (00:50)
admin ftpd3247 10.60.15.155 Wed Jan 18 07:13 - 07:14 (00:00)
admin :0 Wed Jan 18 07:13 - down (1+09:34)
reboot system boot 2.6.27.7-smp Wed Jan 18 07:10 (1+09:37)
[/console]
03.02.2012 11:57 #226497
avaddon66 написал:
в /var/log/secure почему-то последняя запись датируется 31 января, а последующие записи отсутствует

/etc/syslog.conf есть ли у вас запись authpriv.* /var/log/secure ? возможно демон стоит перезапустить.

03.02.2012 12:04 #226499

запись authpriv.* /var/log/secure

такая запись присутствует

возможно демон стоит перезапустить

подскажите какой демон за это отвечает?

03.02.2012 12:06 #226501
avaddon66 написал:
подскажите какой демон за это отвечает?
avaddon66 написал:
/usr/sbin/syslogd

должен быть он.

03.02.2012 13:12 #226531

хм...после перезапуска службы логи пошли, но как-то это не обнадеживает

04.02.2012 00:40 #226754

avaddon66, смотрите скрипт rc.syslog
который запускается в rc.inet2 или в rc.M
обратите внимание, что скрипт запускается командой source. (точка)

Войдите или зарегистрируйтесь, чтобы ответить.