Как отслеживать команды пользователей Linux

Нередко системным администраторам необходимо отслеживать действия пользователей операционной системы в реальном времени. Для этого может быть использован такой инструмент как sysdig. В этой короткой статье мы покажем, как Вы можете просматривать все команды оболочки Linux, выполняемые пользователями системы, в режиме реального времени.

Содержание:

1. Просматривайте историю команд пользователей
2. Что такое sysdig
3. Как установить sysdig
4. Отслеживайте действия пользователей в реальном времени с помощью sysdig
5. Выводы

Просматривайте историю команд пользователей

Оболочка bash хранит данные обо всех введенных пользователем командах в скрытом файле .bash_history. У каждого пользователя имеется свой экземпляр такого файл, который хранится в соответствующем домашнем каталоге. Вы можете просмотреть содержимое этого файла. Для этого — используйте команду history:

history

Кроме того, Вы можете напрямую открыть и просмотреть файл .bash_history пользователя. Например, с помощью команды cat содержимое файла будет выведено в командную строку:

cat /home/<username>/.bash_history

Однако, в этом случае вывод не содержит данных о точном времени выполнения команд. Чтобы получить больше информации — воспользуйтесь командой sysdig.

Что такое sysdig

Команда sysdig — это утилита для поиска неисправностей, анализа и исследования системы. Она может использоваться для перехвата и фильтрации разных событий в ОС. Программа включает в себя язык фильтрации и предоставляет возможности для гибкой настройки вывода.

Как установить sysdig

Если она у Вас не установлена — используйте менеджер пакетов Вашего дистрибутива.

Для Debian / Ubuntu:

sudo apt update && sudo apt upgrade
sudo apt install sysdig

Для Red Hat / CentOS / Fedora:

sudo yum update && sudo yum upgrade
sudo yum install sysdig

Для Fedora 22 и новее:

sudo dnf update && sudo dnf upgrade
sudo dnf install sysdig

Отслеживайте действия пользователей в реальном времени с помощью sysdig

Прежде всего, следует узнать, какие пользователи в данный момент авторизованы в операционной системе. Для этого воспользуемся командой w:

w

Теперь мы знаем, кто сейчас работает с ОС, и можем использовать команду sysdig.

После того, как Вы установили инструмент — введите команду sysdig с опцией -c и аргументом spy_users:

sysdig -c spy_users

Таким образом Вы сможете следить за действиями пользователей в реальном времени. Для наглядности мы использовали два открытых терминала, в одном (user) выполнялись команды, во втором (root) — отслеживались действия.

Выводы

В этой статье мы разобрали, как просматривать файл истории пользователей. Также показали, как отслеживать команды, выполняемые авторизованными пользователями в режиме реального времени. Надеемся, эти знания облегчат для Вас использование ОС Linux.

Спасибо за время, уделенное прочтению статьи!

Если возникли вопросы — задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).