linux 历史命令审计

一、基础概念

Linux历史命令
- 在Linux系统中，当用户在终端执行命令时，这些命令会被记录下来以便后续查看。历史命令存储在一个特定的文件中（通常是~/.bash_history对于Bash shell）。
- 它可以帮助用户快速找到之前执行过的命令，提高工作效率。

审计
- 审计是指对系统中的操作进行检查、记录和分析的过程。对于Linux历史命令审计来说，就是要确保历史命令记录的完整性、准确性，并且能够根据需求对这些记录进行审查。

二、相关优势

安全方面
- 可以追踪用户的操作历史，有助于发现潜在的安全威胁，例如是否有用户执行了异常的命令（如试图访问未授权的文件或进行危险的网络操作）。

故障排查
- 当系统出现问题时，通过查看历史命令可以了解在问题发生前用户执行了哪些操作，有助于快速定位问题的根源。
合规性
- 在一些企业或组织环境中，可能需要满足特定的合规性要求，对命令执行历史进行审计是满足这些要求的一种方式。

三、类型

基于时间范围的审计
- 可以查看特定时间段内的历史命令，例如查看过去一小时或者一天内执行的命令。

基于用户的审计
- 分别审查不同用户的历史命令，确定每个用户的操作行为是否符合规定。
基于命令关键字的审计
- 查找包含特定关键字（如rm用于删除文件操作）的历史命令，以便重点关注可能影响系统稳定性的操作。

四、应用场景

多用户服务器环境
- 在服务器上有多个用户同时操作时，为了确保系统的安全性和稳定性，需要对每个用户的历史命令进行审计。

关键业务系统
- 对于运行着关键业务应用的Linux系统，审计历史命令可以防止误操作或者恶意操作对业务造成影响。
安全监控
- 作为整体安全监控体系的一部分，通过审计历史命令来发现潜在的安全漏洞利用或者内部人员的违规操作。

五、可能遇到的问题及解决方法

历史命令被篡改
- 原因：
  - 如果系统的权限设置不当，恶意用户可能会修改自己的~/.bash_history文件来隐藏某些危险操作。
- 解决方法：
  - 可以设置文件权限为只读（例如chmod 400 ~/.bash_history），并且定期备份历史命令文件到受保护的存储位置。
  - 使用系统级的审计工具，如auditd，它可以监控文件的修改操作并及时报警。

历史命令记录不全
- 原因：
  - 可能是由于命令执行速度过快，或者历史记录功能本身存在配置问题导致部分命令没有被记录。
- 解决方法：
  - 检查~/.bashrc或/etc/bash.bashrc中的历史记录相关配置，例如HISTSIZE（定义了内存中保存的历史命令数量）和HISTFILESIZE（定义了历史文件中的命令数量）是否设置合理。
  - 确保没有其他程序干扰历史命令的正常记录，如某些自定义的shell插件可能存在兼容性问题。
难以查询和分析大量历史命令
- 原因：
  - 随着时间的推移，历史命令文件可能会变得很大，手动查找特定命令或者分析操作模式会变得困难。
- 解决方法：
  - 使用脚本工具，例如grep命令结合正则表达式来过滤和查找特定的历史命令。
  - 可以借助日志分析工具，如awk、sed等对历史命令文件进行处理，提取有用信息并进行统计分析。例如，统计每个用户执行特定类型命令的频率。

以下是一个简单的使用grep查询历史命令中包含sudo关键字的示例：

grep "sudo" ~/.bash_history

如果要统计某个用户在特定时间段内的命令执行数量，可以结合awk和date命令（假设历史命令中有时间戳格式为YYYY - MM - DD HH:MM:SS）：

awk -v start="2023 - 01 - 01 00:00:00" -v end="2023 - 01 - 31 23:59:59" '
{
    cmd_date = substr($0, 1, 19);
    if (cmd_date >= start && cmd_date <= end)
        count++;
}
END {
    print count;
}' ~/.bash_history

请注意，实际应用中可能需要根据具体的历史命令格式进行调整。