Ricevi una notifica via e-mail quando qualcuno accede come root tramite SSH

Chi di noi amministra i server deve mantenere il controllo più stretto possibile su tutto ciò che accade sul server, una delle cose che spesso abbiamo bisogno di sapere è quando un utente si connette tramite SSH (root incluso), per questo con un pacchetto e una linea raggiungerà le nostre notifiche e-mail.

Riesci a immaginare che ogni volta che qualcuno si connette tramite SSH con root riceva un'e-mail che dice?

In altre parole, riceverebbero un'e-mail che direbbe qualcosa del genere:

[miserver] Avviso: accesso al terminale root: 2014/01/21 (200.55.51.151)

Questo è:

[$ NOMBRE_VPS] Avviso: accesso al terminale root: $ DATE ($ IP_DE_WHO_S_CONNECT)

Per ottenere ciò devono prima installare un pacchetto chiamato posta x.

Supponendo che il tuo server utilizzi Debian o qualche distro basata su di esso (consiglio solo Debian, non Ubuntu o simili per i server) sarebbe:

apt-get install mailx

Quindi dobbiamo mettere la seguente riga nella radice .bashrc:

echo 'ALERTA - Acceso a Terminal de Root en:' `hostname` 'el:' `date +'%Y/%m/%d'` `who | grep -v localhost` | mail -s "[ `hostname` ] Alerta: Acceso a Terminal de Root el: `date +'%Y/%m/%d'` `who | grep -v localhost | awk {'print $5'}`" mi@email.com

Per modificare /root/.bashrc usa alcuni editor nel terminale come nano:

nano /root/.bashrc

Dopo aver inserito (ovunque nel file) la riga che ho inserito prima, salviamo il file con Ctrl + O (O orso) e l'abbiamo lasciato con Ctrl + X

Pronto, ogni volta che qualcuno entra nel terminale di root verrà caricato il file .bashrc, che è qualcosa che viene sempre fatto di default, e quando il file viene caricato, verrà eseguita la riga che invia l'email, lasciandoci nella nostra casella di posta qualcosa come:

La spiegazione della linea è qualcosa di veramente semplice:

1. Tramite mailx invio la mail, con il parametro -s «_____» indico l'oggetto, e lo passo con eco «____» e una pipe il contenuto del corpo.
2. `hostname` con questo ottengo il nome host o hostname, cioè il nome del VPS.
3. `date + '% Y /% m /% d'` il comando date mi mostra la data di sistema, il resto delle lettere indica semplicemente come voglio che venga visualizzata la data.
4. chi | grep -v localhost` Se esegui chi sul tuo computer ti mostrerà gli utenti attivi, con grep -v localhost mi assicuro che mostri solo quelli che si sono connessi da una posizione diversa al server stesso, cioè fondamentalmente SSH
5. `chi | grep -v localhost | awk {'print $ 5'} `Ciò che differenzia questa riga dalla precedente è awk, attraverso awk e la stampa della quinta colonna è che ottengo l'IP da cui si sono collegati a SSH

Ad ogni modo, la riga è un po 'lunga e può sembrare complessa da capire, tuttavia ci sono molti caratteri strani ma tutto è abbastanza semplice 🙂

Come sempre, spero che tu l'abbia trovato interessante.

saluti