Como verificar quem executa atualizações ou pacotes instalados no Debian?

Question

Estou numa situação bastante estranha, onde não confio em todos os usuários com direitos de sudo e não há nada que eu possa fazer sobre isso. Eu gostaria de verificar periodicamente se alguém além de mim instalou algum pacote ou, pior ainda, execute atualizações, sem me consultar nos meus servidores Debian / Ubuntu. Em outros servidores rodando o CentOS eu uso yum history . Existe uma maneira de descobrir quem é malvado? Eu dormiria muito melhor ...

Agradecemos antecipadamente por qualquer ajuda.

    

Answer 1

Assumirei que os outros usuários não estão tentando esconder nada de você, são apenas um pouco sem noção ou irritantes. Se eles querem se esconder, eles podem, e não há nada que você possa fazer sobre isso.

Existem logs de uso do apt em /var/log/apt e logs do uso do dpkg em /var/log/dpkg.log . Eles lhe dizem quais operações de pacotes foram feitas quando; eles não lhe dizem por quem, mas você pode obter uma dica comparando com a saída de last .

Você pode obter rastreamento útil de manipulação de pacotes e alterações de configuração colocando /etc sob controle de versão. etckeeper (disponível como um pacote no Debian e no Ubuntu) faz isso muito bem. Instale e edite o /etc/etckeeper/etckeeper.conf para configurá-lo ao seu gosto:

• Defina VCS como seu sistema de controle de versão favorito.
• Verifique se AVOID_DAILY_AUTOCOMMITS está comentado. Se alguém fizer uma alteração em /etc , ela será registrada em um commit automático. Não haverá uma mensagem de registro significativa, mas pelo menos a alteração e sua data aproximada serão rastreadas.
• Verifique se AVOID_COMMIT_BEFORE_INSTALL está comentado. Novamente, haverá um commit automático antes de qualquer uso das ferramentas APT ( apt , apt-get , aptitude , etc.). Há sempre uma confirmação automática após as operações de gerenciamento de pacotes que lista quais alterações foram feitas.

Certifique-se de que as variáveis de ambiente ou arquivos de configuração apropriados estejam configurados para registrar a identidade do committer. Dependendo de como as pessoas ganham root (por meio de su , sudo , etc.), isso pode significar modificar o .profile ou .bashrc do root (se as pessoas usarem sudo -s ) ou talvez adicionar um gancho de confirmação $SUDO_USER para organizar que o committer registrado não seja apenas root .