Chúng tôi có một máy chủ SFTP, tôi đang cố gắng tìm hiểu xem một số tệp cụ thể đã bị xóa khỏi máy chủ hay chúng thậm chí đã được nhập vào máy chủ hay chưa. Tôi đang xem qua các tệp nhật ký bên dưới/var/log nhưng không thể tìm ra các nhật ký có liên quan cho đến nay.
Tôi tự hỏi tôi có thể tìm thấy thông tin như vậy trong tệp nhật ký nào?
Bất kỳ trợ giúp sẽ được đánh giá cao.
Đã cập nhật:
Dựa trên câu trả lời và liên kết: nhập mô tả liên kết ở đây
Tôi đã sửa đổi tập tin cấu hình mà các phần của nó trông giống như bên dưới:
Hệ thống con sftp internal-sftp -f AUTH -l INFO
# Buộc sftp và bỏ tù chroot đối với các thành viên của nhóm sftp
Ghép nhóm sftp
ForceCommand nội bộ-sftp
ChrootDirectory /sftp/%u
# Thành viên của sftp-glob có quyền truy cập vào tất cả các thư mục người dùng
So khớp nhóm sftp-glob
ForceCommand nội bộ-sftp
ChrootDirectory /sftp
# Kích hoạt tính năng này để có thêm nhật ký
LogLevel RÕ RÀNG
Sau đó khởi động lại sshd:
Sudo systemctl khởi động lại sshd
Trong trường hợp này, tôi chỉ có thể xem nhật ký được tạo bởi người dùng quản trị viên (tôi) trong /var/log/auth.log
Ngày 17 tháng 1 12:57:50 ios-sftp internal-sftp[5262]: xóa tên "/tmp/test.txt"
Để ghi nhật ký các hành động của người dùng đã chroot, tôi đã thực hiện việc này:
cd /sftp
nhà phát triển sudo mkdir
nhà phát triển sudo chmod 755
Sudo touch dev/log
Sudo mount --bind /dev/log dev/log
Tuy nhiên, tôi vẫn không thể thấy những người dùng khác đăng nhập /var/log/auth.log nếu họ tải lên hoặc xóa tệp.
Nó bắt đầu hoạt động sau khi sửa tệp cấu hình bằng cách thay đổi ForceCommand internal-sftp thành ForceCommand internal-sftp -f AUTH -l INFO
Hệ thống con sftp internal-sftp -f AUTH -l INFO
# Buộc sftp và bỏ tù chroot đối với các thành viên của nhóm sftp
Ghép nhóm sftp
ForceCommand internal-sftp -f AUTH -l INFO
ChrootDirectory /sftp/%u
# Thành viên của sftp-glob có quyền truy cập vào tất cả các thư mục người dùng
So khớp nhóm sftp-glob
ForceCommand internal-sftp -f AUTH -l INFO
ChrootDirectory /sftp
# Kích hoạt tính năng này để có thêm nhật ký
LogLevel RÕ RÀNG
bây giờ tôi có thể xem nhật ký trong /var/log/auth.log:
Ngày 18 tháng 1 10:13:02 user-sftp internal-sftp[7466]: set "/folder1/folder2/myfile.xml" thời gian sửa đổi 20210106-10:32:58
