第38章 CLI を使用したセッション記録の設定

セッション記録の制限

• root ユーザーのセッション記録を設定することはできますが、root ユーザーには記録プロセスを無効化または回避する特権があります。そのため、監査目的でのセッション記録の信頼性が低下します。
• GNOME グラフィカルセッションのターミナルセッションは記録されません。これは、グラフィカルセッション内のすべてのターミナルが 1 つの監査セッション ID を共有しているために、tlog がターミナルを区別できず、記録を正しくキャプチャーできないためです。

• ジャーナルを表示するときにログのループが発生する可能性があります。記録されたユーザーがシステムジャーナルまたは /var/log/messages を表示すると、新しいログが生成され、それが記録されて表示されるため、大量の出力のループが発生します。

  ログのループを防ぐには、ジャーナルをリアルタイムで表示し、ループを発生させているログエントリーを除外します。

  journalctl -f | grep -v 'tlog-rec-session'

  出力を制限するように tlog を設定することもできます。詳細は、tlog-rec-session.conf man ページを参照してください。

• リモートで実行する場合は、ターゲットホスト上でセッション記録を設定する必要があります。たとえば、ユーザーが ssh を使用してリモートシステムに接続するときにユーザーのセッションを記録する場合は、接続先のリモートシステムで記録を設定します。
• systemd-journald サービスがデフォルト設定を使用してジャーナルをメモリー内に保存する場合、再起動時にすべての記録が失われます。