У нас есть приложение для резервного копирования, которое запускается каждые 12 часов.
Несколько серверов, настольных компьютеров и портативных компьютеров подключаются к экземпляру EC2 и отправляют резервную копию через SFTP, используя свои собственные учетные данные.
Если им нужно восстановить файл, они могут просматривать файлы с помощью простого SFTP-клиента и восстанавливать свои файлы. Это идет очень хорошо последние 8 месяцев.
Я хотел бы знать, сколько данных передается ежемесячно на пользователя через SSH. Мне не нужны журналы за последние 8 месяцев, но что-то, что записывало бы их, начиная сейчас, было бы здорово.
Есть ли что-нибудь, что позволяет мне это делать?
ОС: Ubuntu 10.10
Потребовалось немного awk-магии, это то, что мы с коллегой смогли собрать вместе.
#!/bin/bash
main() {
if [ -e $1 ] ; then
MONTH=$(date | awk '{ print $2 }')
elif [ $1 -ge 1 -a $1 -le 12 ] ; then
month $1
else
exit 1
fi
echo
echo "Usage statistics for month $MONTH"
echo
USERS=(`awk '/^'$MONTH'.*session opened for local user.*$/ { print $(NF-2) } ' /var/log/auth.log* | sort | uniq`)
for i in "${USERS[@]}"
do :
echo "################################"
echo "Usage for user: $i"
READ=0
WRITTEN=0
#processes for this user
PROCS=(`awk '/^'$MONTH'.*session opened for local user '$i'.*$/ { gsub("\\[|]|sftp-server|:","", $(NF-8)); print $(NF-8) } ' /var/log/auth.log* | sort | uniq`)
for j in "${PROCS[@]}"
do :
TEMP_READ=$(awk '/^'$MONTH'.*\['$j'\].*\ read\ [0-9]+\ written\ [0-9]+$/ { sum+=$(NF-2)}END{ print sum}' /var/log/auth.log*)
READ=$(($TEMP_READ+$READ))
TEMP_WRITTEN=$(awk '/^'$MONTH'.*\['$j'\].*\ read\ [0-9]+\ written\ [0-9]+$/ { sum+=$(NF)}END{ print sum}' /var/log/auth.log*)
WRITTEN=$(($TEMP_WRITTEN+$WRITTEN))
done
echo "Read $(($READ/(1024*1024))) MiB"
echo "Written $(($WRITTEN/(1024*1024))) MiB"
echo "################################"
echo
done
}
month() {
case "$1" in
1) MONTH='Jan'
;;
2) MONTH='Feb'
;;
3) MONTH='Mar'
;;
4) MONTH='Apr'
;;
5) MONTH='May'
;;
6) MONTH='Jun'
;;
7) MONTH='Jul'
;;
8) MONTH='Aug'
;;
9) MONTH='Sep'
;;
10) MONTH='Oct'
;;
11) MONTH='Nov'
;;
12) MONTH='Dec'
;;
*) echo 'Crash and Burn!'
exit 1
;;
esac
}
main $1
exit 0
В sshd_config я поместил это:
Subsystem sftp /usr/lib/openssh/sftp-server -l VERBOSE
Предупреждение: Этот скрипт забирает память! Если у вас большие файлы журналов, выполнение сценария может занять до 10 минут (проверено на EC2 Micro).
Вы можете захотеть проверить этот пост о sftp logging. Я думаю, что это даст вам то, что вы хотите, с небольшой дополнительной работой по синтаксическому анализу журналов.
Вы можете отслеживать вход пользователей в систему по IP-адресу (доступному в файлах журнала), а затем использовать практически любое решение для мониторинга трафика (на ум приходят Netflow и IPtraf) для отслеживания трафика порта 22 по этому IP-адресу.
К сожалению, данные об использовании за предыдущие несколько месяцев недоступны, если у вас еще не было настроено что-то в этом роде.
auditd - хорошая утилита, чтобы знать, что было сделано с каждым файлом. Возможно, это не то, что вам нужно.