Rebre notificació per email quan algú accedeixi com a root per SSH

Els que administrem servidors hem de portar un control el més estricte possible sobre tot el que succeeix al servidor, una de les coses que moltes vegades necessitem saber és quan es connecta un usuari per SSH (root inclòs), per a això amb un paquet i una línia ens arribaria al nostre email notificacions.

S'imaginen que cada vegada que algú es connecti per SSH amb root els arribi un correu electrònic que digui?

O sigui, rebrien un correu electrònic que els diria alguna cosa com això:

[Miserver] Alerta: Accés a Terminal de Root el: 2014/01/21 (200.55.51.151)

O sigui:

[$ NOMBRE_VPS] Alerta: Accés a Terminal de Root el: $ DATA ($ IP_DE_QUIEN_SE_CONECTO)

Per aconseguir això primer d'instal·lar un paquet anomenat mailx.

Suposant que el servidor faci servir Debian o alguna distro basada en ell (recomano només Debian, no Ubuntu ni similars per a servidors) seria:

apt-get install mailx

Després hem de posar al .bashrc de root la següent línia:

echo 'ALERTA - Acceso a Terminal de Root en:' `hostname` 'el:' `date +'%Y/%m/%d'` `who | grep -v localhost` | mail -s "[ `hostname` ] Alerta: Acceso a Terminal de Root el: `date +'%Y/%m/%d'` `who | grep -v localhost | awk {'print $5'}`" mi@email.com

Per editar /root/.bashrc facin servir algun editor en terminal com nano:

nano /root/.bashrc

Després de posar (en qualsevol lloc de l'arxiu) la línia que els vaig posar abans, vam salvar l'arxiu amb Ctrl + O (O d'ós) i vam sortir de el mateix amb Ctrl + X

A punt, cada vegada que algú entri a la terminal de root es carregarà l'arxiu .bashrc, que és una cosa que es fa per default sempre, i a l'carregar-se el fitxer s'executarà la línia que envia el correu electrònic, quedant-nos en la nostra safata d'entrada una mica com:

L'explicació de la línia és una cosa realment simple:

1. Mitjançant mailx enviament el correu, amb el paràmetre -s «_____» específic l'assumpte, i li pas amb trobo «____» i una canonada el contingut de l'body.
2. `Hostname` amb això trec el hostname o nom del sistema principal, és a dir, el nom de l'VPS.
3. `Date + '% I /% m /% d'` la comanda date em mostra la data de sistema, la resta de les lletres simplement indica com desitjo que es em mostri la data.
4. who | grep -v localhost` Si s'executen who en el seu ordinador els mostrarà els usuaris actius, amb un grep -v localhost m'asseguro que només mostri els que s'han connectat des d'una ubicació diferent a el servidor en si, és a dir, SSH bàsicament
5. `Who | grep -v localhost | awk { 'print $ 5'} `El que diferencia aquesta línia de l'anterior és el awk, mitjançant el awk i la impressió de la 5a columna és que trec la IP des d'on es van connectar a l'SSH

En fi, la línia és una cosa extensa i pot semblar complexa d'entendre, no obstant això són molts caràcters rars però tot és bastant simple 🙂

Com sempre, espero els hagi resultat d'interès.

Salutacions