Receber notificação por e-mail quando alguém acessar como root por SSH

Aqueles de nós que administram servidores devem manter o controle mais estrito possível sobre tudo o que acontece no servidor, uma das coisas que muitas vezes precisamos saber é quando um usuário se conecta via SSH (root incluído), para isso com um pacote e uma linha alcançaria nossas notificações por email.

Você pode imaginar que toda vez que alguém se conecta via SSH com root, recebe um e-mail que diz?

Em outras palavras, eles receberiam um e-mail que diria algo assim:

[miserver] Alerta: Acesso ao Terminal Root em: 2014/01/21 (200.55.51.151)

Isso é:

[$ NOMBRE_VPS] Alerta: Acesso ao Terminal Root em: $ DATE ($ IP_DE_WHO_S_CONNECT)

Para conseguir isso, eles devem primeiro instalar um pacote chamado e-mail x.

Supondo que seu servidor use Debian ou alguma distro baseada nele (eu recomendo apenas Debian, não Ubuntu ou similar para servidores), seria:

apt-get install mailx

Então, devemos colocar a seguinte linha na raiz .bashrc:

echo 'ALERTA - Acceso a Terminal de Root en:' `hostname` 'el:' `date +'%Y/%m/%d'` `who | grep -v localhost` | mail -s "[ `hostname` ] Alerta: Acceso a Terminal de Root el: `date +'%Y/%m/%d'` `who | grep -v localhost | awk {'print $5'}`" mi@email.com

Para editar /root/.bashrc, use algum editor de terminal como o nano:

nano /root/.bashrc

Depois de colocar (em qualquer lugar do arquivo) a linha que coloquei antes, salvamos o arquivo com Ctrl + O (Ou urso) e deixamos com Ctrl + X

Pronto, toda vez que alguém entrar no terminal raiz, o arquivo .bashrc será carregado, o que é sempre feito por padrão, e quando o arquivo for carregado, a linha que envia o e-mail será executada, deixando algo em nossa caixa de entrada . como:

A explicação da linha é algo muito simples:

1. Através do mailx envio o e-mail, com o parâmetro -s «_____» especifico o assunto, e passo com o eco «____» e um pipe o conteúdo do corpo.
2. `hostname` com isso eu obtenho o nome do host ou hostname, ou seja, o nome do VPS.
3. `data + '% Y /% m /% d'` o comando de data me mostra a data do sistema, o resto das letras simplesmente indicam como eu quero que a data seja exibida.
4. quem | grep -v localhost` Se você executar who em seu computador ele irá mostrar a você os usuários ativos, com um grep -v localhost eu garanto que ele mostra apenas aqueles que se conectaram de um local diferente ao próprio servidor, ou seja, basicamente SSH
5. `quem | grep -v localhost | awk {'print $ 5'} `O que diferencia essa linha da anterior é o awk, passando por awk e a impressão da 5ª coluna é que eu obtenho o IP de onde eles se conectaram ao SSH

De qualquer forma, a linha é um tanto longa e pode parecer complexa de entender, porém existem muitos personagens estranhos mas tudo é bem simples 

Como sempre, espero que você tenha achado interessante.

lembranças