sudo日志檔案跟蹤

來源：http://www.weiruoyu.cn/?p=336

1.建立sudo.log檔案

1. touch /var/log/sudo.log

2.#/etc/syslog.conf 配置檔案最後面添加一行

1. local2.debug /var/log/sudo.log #空白處不能用空格鍵,必需用tab鍵

3.用visudo指令來修改/etc/sudoers配置檔案最後添加如下（不要手動修改配置檔案 ，用visudo指令修改，好處是修改出錯，儲存會彈出錯誤提示資訊，友善排錯。）

1. Defaults logfile=/var/log/sudo.log
2. Defaults loglinelen=0
3. Defaults !syslog

4.重新開機syslog服務

1. [root@localhost .ssh]# service syslog restart
2. 關閉核心日志記錄器：[确定]
3. 關閉系統日志記錄器：[确定]
4. 啟動系統日志記錄器：[确定]
5. 啟動核心日志記錄器：[确定]

或者

1. /etc/init.d/syslog restart

5.确定程序

1. [root@localhost .ssh]# ps -aux |grep syslog
2. Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ
3. root 17971 0.0 0.1 1816 584 ? Ss 08:49 0:00 syslogd -m 0
4. root 17977 0.0 0.1 5124 672 pts/2 R+ 08:49 0:00 grep syslog

6.測試

測試賬戶使用sudo指令，

在root使用者檢視是否有記錄

1. [root@localhost .ssh]# tail -f /var/log/sudo.log
2. 9月 21 08:51:40 : root : TTY=pts/4 ; PWD=/root ; USER=root ; COMMAND=list
3. 9月 21 08:52:16 : wry : TTY=pts/4 ; PWD=/home/wry ; USER=root ; COMMAND=list
4. 9月 21 08:52:40 : wry : TTY=pts/4 ; PWD=/var/tmp ; USER=root ; COMMAND=/bin/cp -r a /var/tmp /usr/local/
5. 9月 21 08:52:50 : wry : TTY=pts/4 ; PWD=/var/tmp ; USER=root ; COMMAND=/bin/cp -r a /var/tmp/a/ /usr/local/
6. 9月 21 08:56:05 : wry : TTY=pts/4 ; PWD=/var/tmp ; USER=root ; COMMAND=/bin/cp 1.txt /usr/local/
7. 9月 21 09:04:58 : wry : TTY=pts/4 ; PWD=/var/tmp ; USER=root ; COMMAND=/bin/mv /usr/local/1.txt