log bash server centralizado ou qualquer auditoria saas [duplicado]

Question

Estou procurando uma maneira de rastrear nosso trabalho sysmin nos servidores. Digamos que o sysmin 1 e o sysmin 2 tenham acesso a qualquer servidor, mas precisamos ter certeza e rastrear qualquer coisa que eles façam no nosso servidor.

Algo como:

server 1 ---- auditd or history>syslog---| 
server 2 ---- auditd or history>syslog------- somthing like log.ly or saas 
server 3 ---- auditd or history>syslog---|

Existe algum SaaS fazendo algo assim? Como você monitora seus amigos ou sysmin que estão trabalhando para que possamos obter algo assim em um local central:

server 1, on 24-12-2013 12:42:32 user root command : ls
server 1, on 24-12-2013 12:42:32 user root command : cd /home
server 2, on 24-12-2013 12:42:32 user example command : ls

Conheço serviços como papertrailapp, mas eles só possuem syslog que não rastreia o comando bash dos usuários.

    

Answer 1

Uma solução é forçar o acesso sudo para todos os comandos. Os usuários fazem login como eles mesmos e usam o sudo para realizar suas atividades. Se você configurar um servidor syslog centralizado, poderá monitorar todas as entradas dos sudoers.

Naturalmente, administradores de sistemas espinhosos como eu farão login como eles mesmos e, em seguida, sudo -i dando um shell não registrado para todos os comandos subseqüentes. Se você quiser remover essa possibilidade, provavelmente precisará fazê-lo com uma política por escrito em vez de uma solução técnica. Poderia ser complicado para forçar / obter o buy-in para.