linux日志审计系统_linux查看审计记录命令

全栈程序员站长

发布于 2022-11-17 13:13:20

15.2K00

代码可运行

文章被收录于专栏：全栈程序员必看全栈程序员必看

运行总次数：0

代码可运行

大家好，又见面了，我是你们的朋友全栈君。

Linux日志审计

常用命令 find、grep 、egrep、awk、sed

Linux 中常见日志以及位置

位置	名称
/var/log/cron	记录了系统定时任务相关的日志
/var/log/auth.log	记录验证和授权方面的信息
/var/log/secure	同上，只是系统不同
/var/log/btmp	登录失败记录使用lastb命令查看
/var/log/wtmp	登录失成功记录使用last命令查看
/var/log/lastlog	最后一次登录使用lastlog命令查看
/var/run/utmp	使用 w、who、users 命令查看

/var/log/auth.log、/var/log/secure记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中

常用审计命令

//定位多少IP在爆破root账号
grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more  

//定位有多少IP在爆破
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

//爆破用户名的字典是什么
grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

//查看登录成功的IP有哪些
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

//登录成功的日志、用户名、IP
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/230931.html原文链接：https://javaforall.cn

本文参与腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。

原始发表：2022年10月31日，如有侵权请联系 cloudcommunity@tencent.com 删除

linux