solaris 10系统中开启对ssh用户登录的审计功能

solaris 10系统中开启对ssh用户登录的审计功能

1.修改ssh日志记录到系统日志中
vi /etc/syslog.conf
把这一行:*.err;kern.notice;auth.notice /dev/sysmsg
修改成::*.err;kern.notice;auth.info /var/adm/messages
注意:前后之间的空白部分是用tab键产生的,不是按空格
2.重启日志服务
svcadm restartsvc:/system/system-log:default
3.检查ssh的配置文件是否启用了日志功能
vi /etc/ssh/sshd_config
SyslogFacility auth
LogLevel info
注:loglevel的值也可以是verbose
4.修改过ssh配置文件后重启服务
svcadm restart svc:/network/ssh:default
5.在shell中使用ssh root@localhost登录系统,故意输错密码
6.cat /var/adm/messages
看到这一行就表示已经记录下来了
Aug 7 15:28:18 lrq sshd[816]: [ID 800047 auth.notice] Failed keyboard-interactive for root from 127.0.0.1 port 32810 ssh2
| | | |
登录结果 用户名 客户IP ssh版本

李荣权