centos – 让auditd记录原始用户

这个问题与我之前的问题有关： Log all commands run by admins on production servers

管理员通过个人用户名登录服务器的公司政策,然后运行sudo -i成为root用户.运行sudo -i后,sudo将创建一个名为SUDO_USER的环境变量,其中包含原始用户的用户名.

是否可以让auditd在每个命令的日志中包含此变量？或功能等同物.

这是auditd的当前规则集：

# First rule - delete all
-D

# Increase the buffers to survive stress events.
# Make this bigger for busy systems
-b 320

# Log any command run on this system
#-a exit,always -F arch=b64 -S execve
-a exit,always -F arch=b32 -S execve

如 here所述：

运用

会话需要pam_loginuid.so

在所有登录相关的PAM配置文件(不是su和sudo的文件)中,auditd将让auditd在字段auid中记录调用用户的uid.

您可以使用以下方式在auditd的日志中搜索此ID

ausearch -ua< uid>

即使在冒充其他帐户时,也会产生用户发出的所有命令.