Értesítést kap e-mailben, ha valaki SSH-ként gyökérként ér el

Azoknak, akik a szervereket adminisztráljuk, a lehető legszigorúbb ellenőrzést kell tartanunk minden felett, ami a szerveren történik, az egyik dolog, amit gyakran tudnunk kell, amikor a felhasználó SSH-n keresztül csatlakozik (root is), ehhez egy csomaggal és egy sorral elérné az e-mail értesítéseinket.

El tudja képzelni, hogy valahányszor valaki SSH-n keresztül csatlakozik a root-hoz, kap egy e-mailt, amely azt mondja?

Más szavakkal, kapnak egy e-mailt, amely ilyesmit mond:

[rosszindulatú] riasztás: A root terminál hozzáférése: 2014/01/21 (200.55.51.151)

Vagyis:

[$ NOMBRE_VPS] Figyelmeztetés: Hozzáférés a gyökérterminálhoz: $ DATE ($ IP_DE_WHO_S_CONNECT)

Ennek eléréséhez először telepíteniük kell a csomagot posta x.

Ha feltételezzük, hogy a szerver Debian-t vagy valamilyen disztrót használ az alapján (a szerverekhez csak a Debiant ajánlom, az Ubuntu-t vagy hasonlót nem), akkor ez a következő lenne:

apt-get install mailx

Ezután be kell tennünk a következő sort a .bashrc gyökérbe:

echo 'ALERTA - Acceso a Terminal de Root en:' `hostname` 'el:' `date +'%Y/%m/%d'` `who | grep -v localhost` | mail -s "[ `hostname` ] Alerta: Acceso a Terminal de Root el: `date +'%Y/%m/%d'` `who | grep -v localhost | awk {'print $5'}`" mi@email.com

A /root/.bashrc szerkesztéséhez használjon néhány szerkesztőt a terminálban, például a nano-t:

nano /root/.bashrc

Miután betettem (bárhová a fájlba) azt a sort, amelyet korábban feltettem, a fájlt mentjük Ctrl + O (Vagy medve), és otthagytuk Ctrl + X

Készen áll, minden alkalommal, amikor valaki belép a gyökérterminálba, a .bashrc fájl betöltődik, ami alapértelmezés szerint mindig megtörténik, és a fájl betöltésekor az e-mailt küldő sor végrehajtásra kerül, hagyva valamit a postaládánkban. mint:

A vonal magyarázata valami igazán egyszerű:

1. A mailxen keresztül elküldöm a levelet, az -s «_____» paraméterrel, megadom a tárgyat, és echo «____» jelzéssel, valamint egy csövön átadom a törzs tartalmát.
2. `hostname` ezzel megkapom a hostname vagy hostname, vagyis a VPS nevét.
3. `date + '% Y /% m /% d'`dátum parancs megmutatja a rendszer dátumát, a többi betű egyszerűen azt jelzi, hogy hogyan szeretném megjeleníteni a dátumot.
4. aki | grep -v localhost` Ha azt futtatod, aki a számítógépeden megmutatja az aktív felhasználókat, a grep -v localhost segítségével biztos vagyok abban, hogy csak azokat jelenítse meg, amelyek más helyről kapcsolódtak magához a szerverhez, vagyis alapvetően SSH
5. `ki | grep -v localhost | awk {'print $ 5'} `Ami megkülönbözteti ezt a sort az előzőtől, az az awk, az awk-n keresztül és az 5. oszlop kinyomtatása révén az az IP-cím, ahonnan az SSH-hoz csatlakoztak

Egyébként a sor kissé hosszú, és bonyolultnak tűnhet megérteni, azonban sok furcsa karakter van, de minden nagyon egyszerű 🙂

Mint mindig, remélem, hogy érdekesnek találta.

Üdvözlet