ส่งอีเมลเมื่อมีคนเข้าสู่ระบบ

ระบบ CentOS / RHEL ของฉันอาจถูกแฮ็กฉันไม่แน่ใจ แต่ฉันเล่นได้อย่างปลอดภัยโดยสร้างชิ้นใหม่ตั้งแต่เริ่มต้น

ฉันติดตั้ง tripwire แล้ว แต่ฉันต้องการได้รับอีเมลเมื่อมีคนลงชื่อเข้าใช้ด้วยฉันไม่ต้องการรอรายงาน logwatch รายวันฉันต้องการอีเมลทันทีเมื่อมีคนลงชื่อเข้าใช้ด้วยที่อยู่ IP ของพวกเขา

ข้อเสนอแนะ?

คล้ายกับส่งการแจ้งเตือนทางอีเมลในรายการไฟล์บันทึกหรือไม่ แต่อาจมีบางคนมีเทคนิคสำหรับปัญหาเฉพาะนี้

ขอบคุณ

แลร์รี่

เพิ่ม: http://forums11.itrc.hp.com/service/forums/questionanswer.do?admit=109447626+1249534744623+28353475&threadId=698232มีความคิดบางอย่าง

คุณควรใช้ solucion สำหรับการตรวจสอบบันทึกเช่นOSSECมันจะดูบันทึกของคุณสำหรับข้อมูลความปลอดภัย (รวมถึงการเข้าสู่ระบบ sudo ฯลฯ ) และส่งอีเมลถึงคุณเมื่อการแจ้งเตือนมีความสำคัญ

ง่ายต่อการกำหนดค่าและคุณสามารถเพิ่มระดับการแจ้งเตือนสำหรับอีเมลหรือรวมถึงการalert-by-emailแจ้งเตือนเฉพาะ

นอกจากนี้ยังสามารถกำหนดค่าการตอบสนองที่ใช้งานได้การปิดกั้น IP และการปฏิเสธการเข้าถึงเป็นระยะเวลาหนึ่งตามค่าเริ่มต้น

การเปลี่ยนแปลงเล็กน้อยของโซลูชัน adams ซึ่งไม่แตกถ้ารูทถูกบันทึกไว้ในเทอร์มินัลมากกว่าหนึ่ง:

login_info="$(who | head -n1 | cut -d'(' -f2 | cut -d')' -f1)"
message="$(
printf "ALERT - Root Shell Access (%s) on:\n" "$(hostname)"
date
echo
who
)"
mail -s "Alert: Root Access from ${login_info}" admin <<< "${message}"

คุณสามารถใส่มันลงใน. bashrc ของคุณ

echo 'ALERT - Root Shell Access to' $(hostname) 'on:' `date` `who` \
| mail -s "Alert: Root Access from `who | cut -d"(" -f2 | cut -d")" -f1`" YOUREMAIL

คุณสามารถเพิ่มคำสั่งที่เหมาะสมไปยังหรือโทรสคริปต์จาก / etc / profile

โปรดทราบว่าหากเครื่องของคุณถูกแฮ็กมันอาจเป็นงานที่ไม่สำคัญสำหรับแฮกเกอร์ - โดยสมมติว่าไม่ใช่ตัวเล็กสคริปต์ที่เรากำลังพูดถึง - เพื่อปิดใช้งานฟังก์ชั่นแจ้งเตือนทางอีเมล

บทความนี้อธิบายวิธีการส่งอีเมลในการเข้าสู่ระบบโดยใช้ SSH PAM

ฉันเผยแพร่สคริปต์ทุบตีบน Github Gist ซึ่งทำสิ่งที่คุณต้องการ มันจะส่งอีเมลถึงผู้ดูแลระบบทุกครั้งที่ผู้ใช้ล็อกอินจากที่อยู่ IP ใหม่ ฉันใช้การเข้าสู่ระบบกลั่นกรองสคริปต์ในระบบการผลิตที่ควบคุมอย่างเข้มงวดของเรา หากการเข้าสู่ระบบถูกบุกรุกเราจะได้รับแจ้งเกี่ยวกับตำแหน่งการเข้าสู่ระบบที่ผิดปกติและมีโอกาสที่จะล็อคพวกเขาออกจากระบบก่อนที่พวกเขาจะก่อให้เกิดความเสียหายร้ายแรง

/etc/profile.d/การติดตั้งสคริปต์เพียงแค่การปรับปรุงด้วยอีเมลดูแลระบบของคุณและคัดลอกลงใน