Comment configurer PAM pour auditer l’activité des utilisateurs de l’interpréteur de commandes de journalisation
Dans cette quatrième partie de cet article, nous expliquerons comment configurer PAM pour l’audit de l’entrée Linux TTY (Logging Shell User Activity) pour des utilisateurs spécifiques à l’aide de pam_tty_audit outil.
Linux PAM (Pluggable Authentication Modules) est une méthode très flexible pour mettre en œuvre des services d’authentification dans les applications et divers services système ; il a émergé de l’Unix PAM original.
Il divise les fonctions d’authentification en quatre grands modules de gestion, à savoir : les modules de compte, les modules d’authentification, les modules de mot de passe et les modules de session. L’explication détaillée de ces groupes de gestion dépasse le cadre de ce tutoriel.
L’outil auditd utilise le module PAM pam_tty_audit pour activer ou désactiver l’audit des entrées TTY pour les utilisateurs spécifiés. Une fois qu’un utilisateur est configuré pour être audité, pam_tty_audit fonctionne conjointement avec auditd pour suivre les actions d’un utilisateur sur le terminal et, s’il est configuré, capturer les frappes exactes de l’utilisateur, puis les enregistrer dans le fichier /var/log/audit/audit.log.
Configuration de PAM pour l’audit de l’entrée TTY de l’utilisateur sous Linux
Vous pouvez configurer PAM pour l’audit d’une entrée TTY d’utilisateur particulier dans les fichiers /etc/pam.d/system-auth et /etc/pam.d/password-auth, à l’aide de l’option enable. D’autre part, comme prévu, la désactivation le désactive pour les utilisateurs spécifiés, au format ci-dessous :
session required pam_tty_audit.so disable=username,username2... enable=username,username2..
Pour activer l’enregistrement des frappes réelles de l’utilisateur (y compris les espaces, les espaces arrière, les touches de retour, la touche Ctrl, la touche Suppr et autres), ajoutez l’option log_passwd avec les autres options, à l’aide de ce formulaire :
session required pam_tty_audit.so disable=username,username2... enable=username log_passwd
Mais avant d’effectuer des configurations, notez que :
- Comme vu dans la syntaxe ci-dessus, vous pouvez passer de nombreux noms d’utilisateur à l’option d’activation ou de désactivation.
- Toute option de désactivation ou d’activation remplace l’option opposée précédente qui correspond au même nom d’utilisateur.
- Une fois l’audit TTY activé, il est hérité par tous les processus initiés par l’utilisateur défini.
- Si l’enregistrement des frappes est activé, l’entrée n’est pas enregistrée instantanément, car l’audit TTY stocke d’abord les frappes dans une mémoire tampon et écrit le contenu de la mémoire tampon à des intervalles donnés, ou après que l’utilisateur audité se déconnecte, dans le fichier /var/log/audit/audit.log.
Regardons un exemple ci-dessous, où nous allons configurer pam_tty_audit pour enregistrer les actions de l’utilisateur tecmint, y compris les frappes au clavier, sur tous les terminaux, tout en désactivant l’audit TTY pour tous les autres utilisateurs du système.
Ouvrez les deux fichiers de configuration suivants.
# vi /etc/pam.d/system-auth
vi /etc/pam.d/password-auth
Ajoutez la ligne suivante à la session de configuration files.
requise pam_tty_audit.so disable=* enable=tecmint
Et pour capturer toutes les frappes saisies par l’utilisateur tecmint, nous pouvons ajouter l’option log_passwd a affichée.
session required pam_tty_audit.so disable=* enable=tecmint log_passwd
Enregistrez et fermez maintenant les fichiers. Ensuite, affichez le fichier journal auditd pour toute entrée TTY enregistrée, à l’aide de l’utilitaire aureport.
# aureport --tty
À partir de la sortie ci-dessus, vous pouvez voir l’utilisateur tecmint dont l’UID est de 1000 utilisé l’éditeur vi/vim, créé un répertoire appelé bin et déplacé dans celui-ci, effacé le terminal et ainsi de suite.
Pour rechercher des journaux d’entrée TTY dont l’horodatage est égal ou supérieur à une heure spécifique, utilisez l’option -ts pour spécifier la date et l’heure de début et l’option -te pour définir la date et l’heure de fin.
En voici quelques exemples :
# aureport --tty -ts 09/25/2017 00:00:00 -te 09/26/2017 23:00:00
aureport --tty -ts this-week
Vous trouverez plus d’informations sur la page de manuel pam_tty_audit.
# man pam_tty_audit
Consultez les articles utiles suivants.
- Configurer l’authentification par clé SSH sans mot de passe avec PuTTY sur les serveurs Linux
- Configuration de l’authentification LDAP dans RHEL/CentOS 7
- Comment configurer l’authentification à deux facteurs (Google Authenticator) pour les connexions SSH
- Connexion SSH sans mot de passe à l’aide de SSH Keygen en 5 étapes faciles
- Comment exécuter la commande 'sudo' sans entrer de mot de passe sous Linux
Dans cet article, nous avons décrit comment configurer PAM pour l’audit des entrées pour des utilisateurs spécifiques sur CentOS/RHEL. Si vous avez des questions ou des idées supplémentaires à partager, utilisez le commentaire ci-dessous.