zabbix监控linux高危命令并发送告警

一、脚本实现审计前提：追加Linux系统的/etc/profile文件

#-----监控命令行高危命令---------------# 创建命令行记录文件log_file=/var/log/cmd.log# 如果是root的话就创建文件if [[ $UID -eq 0 ]];then  # 判断文件是否存在，不存在就创建  if [ ! -f $log_file ]  then      touch $log_file      chmod 777 $log_file      chattr +a $log_file  fifi# 定义PROMPT_COMMAND的内容为函数__set_promptexport PROMPT_COMMAND=__set_prompt# 定义PROMPT_COMMAND变量为只读变量readonly PROMPT_COMMAND# 定义最后一个history idLast_Hit_Num=`history 1 | awk '{print $1}'`__set_prompt (){    local EXIT=$? # 定义命令执行的结果      # 获取本次命令执行的history id    export Cur_HIT_NUM=`history 1 | awk '{print $1}'`      # 如果本次执行的命令和上次执行的命令一样，则id没有变化，不需要进行记录    # 如果这里不处理，空白回车也会导致记录，记录的值就是上次执行的命令    if [[ $Cur_HIT_NUM -ne $Last_Hit_Num ]];then       # 判断命令是否执行成功       if [[ $EXIT -ne 0 ]];then           echo "执行时间：$(date '+%y-%m-%d %T') 用户：$(who am i | awk "{print \$1\" \"\$2\" \"\$5}") 当前目录：$(pwd) 执行命令：$(history 1 | sed 's/^[ \t]*//g' | cut -d " " -f2-) 执行失败" >>$log_file  else           echo "执行时间：$(date '+%y-%m-%d %T') 用户：$(who am i | awk "{print \$1\" \"\$2\" \"\$5}") 当前目录：$(pwd) 执行命令：$(history 1 | sed 's/^[ \t]*//g' | cut -d " " -f2-) 执行成功" >>$log_file      fi    fi    # Cur_Hit_Num赋值给Last_Hit_Num    export Last_Hit_Num=$Last_Hit_Num    return $EXIT}#---------------------------------

退出用户重新登录，或者source一下/etc/profile使之生效。

查看记录是否成功