审计跟踪Linux的异常活动
审计跟踪Linux的异常活动
Zhaoke, 2007-01-29
一些异常用户试图移去系统上的所有活动记录(比如 ~/.bash_history), 不过我们可以使用专门的工具来监视所有用户执行的命令. 推荐你使用进程记帐来记录用户的活动, 你可以通过进程记帐查看每一个用户执行的命令, 包括CPU时间和内存占用.
psacct程序提供了几个进程活动监视工具: ac, lastcomm, accton和sa.
.ac命令显示用户连接时间的统计.
.lastcomm命令显示系统执行的命令.
.accton命令用于打开或关闭进程记帐功能.
.sa命令统计系统进程记帐的情况.
1). 安装psacct或acct软件包
如果你使用RHEL, 使用up2date命令:
# up2date psacct
如果你使用CentOS/Fedora Core Linux, 使用yum命令:
$ sudo apt-get install acct
或
# apt-get install acct
2). 启动psacct/acct服务
在Ubuntu/Debian Linux系统上, pacct可以自动启动.(安装包会在系统上创建一个/var/account/pacct文件). 但是在Red Hat/Fedora Core/Cent OS, 你需要手动启动psacct服务. 敲入下面两个命令创建/var/account/pacct文件和启动pacct服务:
# chkconfig psacct on
# /etc/init.d/psacct start
如果你使用Suse Linux, 服务的名称为acct, 敲入下面的命令:
# chkconfig acct on
# /etc/init.d/acct start
现在我们可以了解如何利用这些工具来监视用户的命令和时间.
3). 显示用户连线时间的统计信息
命令可以根据登陆数/退出数在屏幕上打印出用户的连线时间(单位为小时). 总计时间也可以打印出来. 如果你执行没有任何参数的ac命令, 屏幕将会显示总计的连线时间:
$ ac
输出:
total 95.08
显示每一天的连线统计时间:
$ ac -d
输出:
Nov 1 total 8.65
Nov 2 total 5.70
Nov 3 total 13.43
Nov 4 total 6.24
Nov 5 total 10.70
Nov 6 total 6.70
Nov 7 total 10.30
…..
..
…
Nov 12 total 3.42
Nov 13 total 4.55
Today total 0.52
显示每一个用户的总计连线时间和所有用户总计连线时间:
$ ac -p
输出:
vivek 87.49
root 7.63
total 95.11
4). 查找用户过去执行的命令
你可以使用lastcomm命令打印出用户过去执行的命令. 你也可以通过用户名, tty名或命令名来搜索以往执行的命令.
比如显示vivek用户过去执行的命令:
$ lastcomm vivek
输出:
[code]
userhelper S X vivek pts/0 0.00 secs Mon Nov 13 23:58
userhelper S vivek pts/0 0.00 secs Mon Nov 13 23:45
rpmq vive
相关文档：
一：前言
最近在研究android的sensor driver，主要是E-compass，其中用到了Linux input子系统.在网上也看了很多这方面的资料，感觉还是这篇分析的比较细致透彻，因此转载一下以便自己学习，同时和大家分享！
（这篇博客主要是以键盘驱动为例的，不过讲解的是Linux Input Subsystem，可以仔细的研究一下！）
键盘驱动将检 ......
MD5算法常常被用来验证网络文件传输的完整性，防止文件被人篡改。MD5 全称是报文摘要算法（Message-Digest Algorithm 5），此算法对任意长度的信息逐位进行计算，产生一个二进制长度为128位（十六进制长度就是32位）的“指纹”（或称“报文摘要”），不同的文件产生相同的报文摘要的可能性是非常非常之 ......
首先是安装
sudo apt-get install sysv-rc-conf
然后在终端 sudo sysv-rc-conf
在这个软件里，可以用键盘的方向键移动，用空格选取，也可以直接用鼠标选取，最后用q保存退出，一下列出服务的名称和基本的解释。
代码:
acpi-supp这个是关于电源支持的默认是1,2,3,4,5下启动，我认为你可以把它调整到s级别。
acpid acp ......
服务器突然出现公网网络不通。还好有配两个IP，一公网，一内网，内网可通，通过内网连接到服务器上 。查看日志，dmesg，发现有这样一条：
Sep 9 14:34:36 slave kernel: NETDEV WATCHDOG: eth0: transmit timed out
/etc/init.d/network restart 网络服务重启一下，恢复正常。
到google查找资料，发现也有一样的问 ......
在bbs上发了个如题所示的大土帖，结果没一个回复，哎，真丢人~~~，蒙师兄指点，才初步搞清楚linux模块函数的调用机制：
首先，应用程序是无法直接访问模块中的函数的（即使是你自编自挂的模块－－实际上它也是内核模块），用户空间与内核空间之间只有通过一些特定的系统函数来进行通讯（如什么user_to_kernel），而绝对不� ......
