Логирование SFTP-соединений (WinSCP)

В этой статье рассмотрим возможность логирования соединений по SFTP протоколу. Этим соединением пользуется программа WinSCP, которая позволяет работать с файлами (копировать/перемещать/изменять/удалять) в Linux из ОС Windows.

Для чего это требуется. Всё дело в том, что при подключении к ОС CentOS 6.9 с использованием программы WinSCP, это не будет отражено ни в одном логе.

В данной статье мы сделаем так, чтобы в лог записывались манипуляции, которые производятся через WinSCP при подключению к нашему серверу.

Настройка логирования

Итак, приступим к настройкам самого логирования.

Для начала нам необходимо несколько изменить параметры запуска sftp-сервера. Для этого открываем в режиме редактирования файл /etc/ssh/sshd_config и находим следующую строку:

Subsystem       sftp    /usr/libexec/openssh/sftp-server

К ней необходимо будет дописать следующие параметры: -l INFO -f AUTH. Должна получиться следующая строка:

Subsystem       sftp    /usr/libexec/openssh/sftp-server -l INFO -f AUTH

Здесь параметр –l отвечает за уровень логирования sftp-сервера. Существуют следующие уровни логирования: QUIET, FATAL, ERROR, INFO, VERBOSE, DEBUG, DEBUG1, DEBUG2 и DEBUG3. При этом DEBUG и DEBUG1 считаются эквивалентными, а уровень DEBUG3 – наивысшим уровнем логирования. В нашем случае, для отображения действий подключающихся пользователей, достаточно будет уровня INFO.

Подробнее о ключах и настройках smtp-сервера можно узнать, выполнив в консоли команду:

man sftp-server

Открываем в режиме редактирования файл /etc/rsyslog.conf и добавляем в конец файла следующую строку:

auth.* /var/log/sftp.log

В качестве второго аргумента (/var/log/sftp.log) указываем имя файла, в который будут писаться логи sftp-соединений.

Перезапускаем службы sshd и rsyslog командами:

service sshd restart
service rsyslog restart

Тестирование

Теперь при подключении к нашему серверу с использованием программы WinSCP, все выполненные действия будут логироваться и доступны к просмотру в файле /var/log/sftp.log.

Рассмотрим отображение в логе некоторых основных моментов работы.

Подключение к серверу с использованием WinSCP будет выглядеть в логе следующим образом:

• 192.168.170.111, IP адрес в конце самой верхней строки — это адрес клиента, который подключается к серверу.
• [29070] – уникальный идентификатор сессии. С помощью этого параметра можно отследить, какие действия выполнял подключённый пользователь.

К примеру, для того, чтобы узнать, кто подключался к серверу по sftp за сегодня (27 Ноября), достаточно в консоли ввести команду:

fgrep 'Nov 27 ' /var/log/sftp.log | grep 'session opened'

Рис. 3.

Отключение от сервера будет выглядеть в логе следующим образом:

При отключении основной сессии WinSCP также будут отключены и дополнительные (к примеру, при открытии файла для редактирования в WinSCP будет создана дополнительная сессия от того же IP адреса).

Создание, редактирование, удаление файлов выглядит в логе следующим образом:

На скриншоте выше, блок:

1 – Создание файла. Можно определить по характерным параметрам: наличие lstat с именем создаваемого файла и после этого идёт sent status No such file. Это означает, что файл не найден и будет создан, после чего открывается его редактирование. Также определить, что файл создаётся можно по флагу редактирования CREATE, при открытии его.
2 – редактирование файла. Можно определить по флагу READ при открытии файла. Также здесь присутствует информация о количестве считанных и записанных байт. Если файл был перезаписан, добавляется последнее время его модификации.
3 – удаление файла. Заключается всего в одной строке: remove name “/path_to_file/name_file”.

На этом статья о рассмотрении логирования SFTP-соединений завершена.