Enregistrement de session
Enregistrement de session (en anglais session recording) : capture de ce qui s'affiche dans un terminal pendant une session, pour pouvoir la relire plus tard et savoir ce que la personne voyait quand elle tapait ses commandes.
Avec sudo, une ligne Defaults log_output dans un fichier de /etc/sudoers.d/ (édité par visudo -f) enregistre la sortie de chaque commande lancée par sudo sous /var/log/sudo-io/, en droits 0600 ; on exclut sudoreplay lui-même par Defaults!/usr/bin/sudoreplay !log_output. sudo sudoreplay -l user alex liste les sessions, sudo sudoreplay <identifiant> en rejoue une. sudo_logsrvd centralise ces enregistrements en TLS. Sur la famille Red Hat, tlog enregistre les sessions entières, avec ou sans sudo. Pour garder la trace de son propre travail sans rien écrire sur le serveur, script -q -a fichier.log lancé sur son poste avant ssh suffit.
C'est le complément d'auditd (qui, quand) et d'AIDE (ce qui a changé) : il redonne le contexte. Sa limite : il ne voit que ce qui passe par sudo. Son risque : il contient tout ce qui s'est affiché, secrets compris (un cat du fichier d'environnement de l'application), et log_input enregistre même les frappes, mots de passe tapés sans écho inclus. Ces fichiers se protègent comme des secrets ; sudoedit vaut mieux que cat sous sudo.
Dans les cours
- Linux : administration système, leçon 15 : Tracer et contrôler l'intégrité : auditd et AIDE
- Linux : administration système, leçon 1 : Prendre en charge un serveur