如何监控centos的sftp活动

要监控CentOS上的SFTP活动，您可以采用以下几种方法：

1. 使用auditd进行审计： auditd是Linux系统上的审计框架，可以用来跟踪系统调用和文件访问。您可以通过配置auditd来监控SFTP活动。

   • 安装auditd（如果尚未安装）：

     sudo yum install audit
     

   • 启动并启用auditd服务：

     sudo systemctl start auditd
     sudo systemctl enable auditd
     

   • 创建一个审计规则来监控SFTP活动。例如，您可以监控/etc/passwd文件的变化，因为SFTP用户通常会在这个文件中进行认证：

     sudo auditctl -a exit,always -F arch=b32 -S openat -S open -k sftp_activity
     sudo auditctl -a exit,always -F arch=b64 -S openat -S open -k sftp_activity
     

   • 查看审计日志：

     sudo ausearch -k sftp_activity
     

2. 查看SSH日志： SFTP活动通常会记录在SSH日志中。您可以查看/var/log/secure文件来获取SFTP连接和活动的信息。

   sudo tail -f /var/log/secure
   

   在日志中，您可以找到类似于以下的条目，表明有SFTP连接发生：

   Mar 10 12:34:56 servername sshd[12345]: Accepted publickey for username from 192.168.1.100 port 55555 ssh2: RSA SHA256:abcdef1234567890
   Mar 10 12:34:56 servername sshd[12345]: pam_unix(sshd:session): session opened for user username by (uid=0)
   

3. 使用tcpdump进行网络监控： 如果您想要监控网络层面的SFTP流量，可以使用tcpdump工具。

   sudo tcpdump -i any port 22 -w sftp_traffic.pcap
   

   这将捕获所有通过端口22（SSH/SFTP默认端口）的流量，并将其保存到sftp_traffic.pcap文件中。您可以使用Wireshark等工具来分析这个文件。

4. 使用fail2ban防止未授权访问： fail2ban是一个入侵防御软件框架，它可以帮助您监控日志文件并根据规则禁止恶意IP地址。

   • 安装fail2ban（如果尚未安装）：

     sudo yum install fail2ban
     

   • 启动并启用fail2ban服务：

     sudo systemctl start fail2ban
     sudo systemctl enable fail2ban
     

   • 配置fail2ban来监控SSH/SFTP登录尝试，并在检测到多次失败尝试后禁止IP地址。

请注意，监控和审计可能会涉及到隐私和安全问题，因此在实施任何监控措施之前，请确保您遵守相关的法律法规，并且已经获得了必要的授权。