Ontvang een melding per e-mail wanneer iemand via SSH toegang heeft tot root

Degenen onder ons die servers beheren, moeten de strengst mogelijke controle houden over alles wat er op de server gebeurt, een van de dingen die we vaak moeten weten is wanneer een gebruiker verbinding maakt via SSH (inclusief root), hiervoor met een pakket en een regel zou onze e-mailmeldingen bereiken.

Kun je je voorstellen dat elke keer dat iemand via SSH verbinding maakt met root, ze een e-mail krijgen die zegt?

Met andere woorden, ze zouden een e-mail ontvangen met de volgende tekst:

[miserver] Waarschuwing: toegang tot root-terminal op: 2014/01/21 (200.55.51.151)

Dat is:

[$ NOMBRE_VPS] Waarschuwing: toegang tot rootterminal op: $ DATE ($ IP_DE_WHO_S_CONNECT)

Om dit te bereiken, moeten ze eerst een pakket installeren met de naam mailx.

Ervan uitgaande dat uw server Debian of een daarop gebaseerde distro gebruikt (ik raad alleen Debian aan, niet Ubuntu of iets dergelijks voor servers), dan zou het zijn:

apt-get install mailx

Dan moeten we de volgende regel in de root .bashrc plaatsen:

echo 'ALERTA - Acceso a Terminal de Root en:' `hostname` 'el:' `date +'%Y/%m/%d'` `who | grep -v localhost` | mail -s "[ `hostname` ] Alerta: Acceso a Terminal de Root el: `date +'%Y/%m/%d'` `who | grep -v localhost | awk {'print $5'}`" mi@email.com

Gebruik een terminal-editor zoals nano om /root/.bashrc te bewerken:

nano /root/.bashrc

Nadat we (ergens in het bestand) de regel hebben gezet die ik ervoor heb gezet, slaan we het bestand op met Ctrl + O (Of beer) en we lieten het achter Ctrl + X

Klaar, elke keer dat iemand de root-terminal betreedt, wordt het .bashrc-bestand geladen, wat altijd standaard wordt gedaan, en wanneer het bestand wordt geladen, wordt de regel die de e-mail verzendt uitgevoerd, waardoor er iets in onze inbox achterblijft. zoals:

De uitleg van de regel is iets heel eenvoudigs:

1. Via mailx verstuur ik de mail, met de parameter -s «_____» specificeer ik het onderwerp, en ik geef het met echo «____» en een pipe de inhoud van de body door.
2. `hostname` hiermee krijg ik de hostnaam of hostnaam, dat wil zeggen de naam van de VPS.
3. `date + '% Y /% m /% d'` het date commando toont me de systeemdatum, de rest van de letters geeft eenvoudig aan hoe ik wil dat de datum wordt weergegeven.
4. wie | grep -v localhost` Als u wie op uw computer uitvoert, zal het u de actieve gebruikers laten zien, met een grep -v localhost zorg ik ervoor dat het alleen degenen toont die verbinding hebben gemaakt vanaf een andere locatie met de server zelf, dat wil zeggen, in feite SSH
5. `wie | grep -v localhost | awk {'print $ 5'} `Wat deze regel onderscheidt van de vorige is de awk, door de awk en het afdrukken van de 5e kolom is dat ik het IP-adres krijg van waar ze verbinding hebben gemaakt met SSH

Hoe dan ook, de regel is wat lang en lijkt misschien ingewikkeld om te begrijpen, maar er zijn veel vreemde karakters, maar alles is vrij eenvoudig 🙂

Zoals altijd hoop ik dat je het interessant hebt gevonden.

groeten