Cuando tenemos bajo nuestro cargo un servidor de tipo nix que es usado por multiples usuarios, adquirimos tambien la responsabilidad de tener un seguimiento de cada cosa que sucede en el equipo. Desde los servicios que ejecuta el equipo hasta los procesos que crean los usuarios.
Tomando como ejemplo un equipo con un sistema operativo Linux, tenemos que cada comando que un usuario ejecuta es acumulado en un registro que funciona como un historial de los comandos, este archivo es guardado como un archivo oculto ( precedido por un “.” ) en el directorio personal del usuario.
Sin embargo, un usuario que esta haciendo cosas las cuales no le es permitido por terminos de uso en nuestro servidor y conciente de este registro de comandos, lo primero que hara despues de haber cometido tal violacion sera borrar el contenido del archivo o simplemente borrar “evidencia” de los hechos cometidos para que nosotros como administradores no nos demos cuenta de ello. Esto es en especial verdad cuando tenemos un atacante que ha adquirido acceso a alguna cuenta del sistema y utiliza herramientas para borrar evidencias.
De cualquier forma, es bueno conocer diferentes formas de tener una auditoria que realmente nos muestre lo que sucede, y esto se puede llevar acabo ademas de conociendo el funcionamiento de nuestro sistema, utilizando herramientas que nos den un poco de ayuda mas detallada.
En fin, el paquete que abordo aqui es acct, el cual contiene un conjunto de utilidades que nos ayudaran en nuestra tarea como administradores para determinar estadisticas de uso de cpu, tiempo de conexion, procesos iniciados por cada usuario, duracion e inicio de los procesos en el sistema en general, etc.
Entre las herramientas tenemos:
- ac: Imprime estadisticas sobre el tiempo de conexion de los usuarios, imprimiendo totales por dia o por todas las entradas registradas.
- accton: Activa o desactiva el registro.
- last: Hace un listado de los logins en el sistema.
- lastcomm: Hace un listado de los comandos iniciados en el sistema, desde el mas reciente, mostrando el estado de cada uno.
- sa: Genera reportes sobre los comandos, dando el numero de invocaciones, tiempo de cpu usado, etc.
ac:
Ejecutando el comando sin parametros nos da el total de horas de sesion por todos los usuarios del sistema:
xLair# ac
total 49.25
Horas de Uso por Dia:
xLair# ac -d
Jan 14 total 6.34
Jan 15 total 18.24
Jan 19 total 7.13
Jan 20 total 3.14
Jan 21 total 2.24
Jan 22 total 3.28
Jan 25 total 5.63
Jan 26 total 2.55
Jan 27 total 0.73
Uso por usuario:
xLair# ac -p
analyzt 30.17
forensics 19.12
total 49.29
accton:
Esta utilidad se encarga de activar el proceso de accounting del sistema, al usarse sin parametros setea en off el registro y al darle como parametro un path de un archivo se usa como el registro de almacenamiento.
xLair# accton /var/account/accountingfile
En la 2nda parte abordare los comandos last, lastcomm y sa.
