Como determinar o endereço IP de quem fez login na raiz?

15

Existem várias pessoas com acesso root a uma VM específica pela qual sou responsável. Gostaria de descobrir qual endereço IP foi usado para fazer login na raiz.

security root

— Matthew Moisen
fonte

1

Você pode acessar os logs para ver o que os comandos foram feitas anteriormente: sudo less /root/.bash_history, eu ainda estou tentando pesquisar isso, parece ser uma pergunta muito boa :)

— ryekayo

2

superuser.com/questions/201978/...

— Networker

6

Se alguém fizer logon como root, eles podem fazer praticamente tudo o que deseja remover todos os logs que eles precisam também ...

— Comintern

4

Como uma observação lateral, você deve impedir o login direto da raiz. É um grande problema de segurança.

— Fedorqui

15

Você pode usar o lastcomando para obter essas informações

# last|head
phemmer  ssh          192.168.0.24     Wed Aug 20 21:08 - 21:08  (00:00)
phemmer  pts/13       192.168.0.2      Wed Aug 20 14:00 - 18:43  (04:43)
phemmer  ssh          192.168.0.2      Wed Aug 20 14:00 - 18:43  (04:43)
phemmer  ssh          ::1              Wed Aug 13 23:08 - 23:08  (00:00)
phemmer  ssh          ::1              Wed Aug 13 23:08 - 23:08  (00:00)
phemmer  ssh          ::1              Wed Aug 13 23:07 - 23:07  (00:00)
phemmer  pts/15       192.168.0.20     Thu Aug  7 19:00 - 19:00  (00:00)
phemmer  ssh          192.168.0.20     Thu Aug  7 19:00 - 19:00  (00:00)
phemmer  :0                            Wed Jul 30 20:06   still logged in
reboot   system boot  3.13.2-gentoo    Wed Jul 30 20:05   still running

Como você pode ver sem dúvida, a terceira coluna mostrará o endereço IP remoto no caso de um login SSH.

lastusa o /var/log/wtmparquivo, então esse método é semelhante à resposta do G-Man (um pouco mais simples, pois você não precisa especificar o caminho para o arquivo).

— Patrick
fonte

14

Isso depende da sua distribuição ou sistema operacional. sshdregistrará cada login em algum lugar e incluirá o endereço IP relevante no login em um formato como este:

Aug 20 15:56:53 machine sshd[2728]: Accepted publickey for root from 192.168.1.2 port 49297

Essa parte é consistente, mas como você chega lá pode variar. Em sistemas baseados emsystemd , use journalctl:

journalctl /usr/bin/sshd

para listar todas as mensagens de log do sshd executável. Você pode esperar isso para logins raiz ou outros critérios e limitá-lo por data com --sincee --until(consulte man journalctl).

Alternativamente e historicamente, as mensagens serão registradas (geralmente) em algum lugar /var/log. Comumentesshd mensagens são enviadas /var/log/auth.log, mas o arquivo exato pode variar substancialmente. Qualquer que seja:

grep sshd /var/log/auth.log

fornecerá uma saída amplamente equivalente à journalctlversão.

— Michael Homer
fonte

7

O comando

who /var/log/wtmp

deve mostrar informações como o que whomostra, mas voltando no tempo.

— G-Man Diz 'Reinstate Monica'
fonte

Truque legal, mas IMO você está melhor fora apenas usandolast

— Creek

7

Você não deve permitir que as pessoas sshfaçam login diretamente como root (usando a senha root ou um certificado /root/.ssh/authorized_keys) se desejar auditar quem fez login como root. Em vez disso, use uma conta para cada pessoa e deixe-a usar sudopara obter permissões de root. Dessa maneira, você encontrará no log apropriado (a posição do arquivo de log depende de qual distribuição você possui, você pode até configurar o daemon de log para enviar as mensagens para outra máquina) a mensagem user john ran the command 'sudo rm -rf /'. Bem, talvez você não encontre facilmente esse comando nos logs.

— pqnet
fonte

2

Primeiro, isso não responde à pergunta. Segundo, você sempre deve ter uma maneira de resgatar o sistema. O que acontece quando você usa a autenticação LDAP e seu servidor LDAP morre? Como você vai entrar na caixa?

— Patrick

4

@Patrick Primeiro, a pergunta começa com "existem várias pessoas com acesso root a uma VM específica"; portanto, faz sentido sugerir que a abordagem correta não é auditar o IP, mas sim auditar os usuários. Segundo, o problema que você coloca não tem relação: se uma pessoa deve acessar uma máquina em uma emergência do LDAP que não está funcionando, ela deve ter sua própria conta local e se ela deve fazer trabalhos administrativos em uma situação de emergência, a conta local deve ter sudopoder. Nunca existe um motivo real para compartilhar uma conta entre duas pessoas, mas uma pessoa pode ter duas contas, se necessário.

— Pqnet

A questão não é perguntar como alterar seu design, mas como obter um endereço IP. Quanto à sua outra solução, agora você tem uma conta local (possivelmente várias), com uma senha que nunca expira. Eu não consideraria isso uma melhoria.

— Patrick

@ Patrick qualquer que seja. Você gerencia seu próprio servidor, eu administro o meu. Você fez o seu ponto, as pessoas vão ler o seu comentário e decidir.

— Pqnet

1

@Patrick melhoria sobre o que? Ter contas de usuário separadas para pessoas separadas é quase certamente uma melhoria em relação a várias pessoas compartilharem uma única rootconta.

— Jk013

0

A partir da breve descrição que você forneceu, parece que seria melhor se você configurasse um sistema de monitoramento de logs. Isso o ajudaria a monitorar os logins, criar alertas, comparar os dados de vários dias e, sim, é claro, gráficos para tudo isso.

Mas se você precisar monitorá-lo temporariamente , poderá usar o lastcomando

last | grep root | grep -v tty | awk '{print $3}'

Isso fornecerá a lista de IPsou Hostnamesde onde o usuário root efetuou login.

— iniciante
fonte