samba zugriffe

N

nadine123

Mitglied

• 19.11.2004

• #1

hallo leute

gibts ein programm, das die zugriffe bzw. aktivität auf dem samba server anzeigt. z.b user ip wann er was gemacht hat usw ....

ich habe bei mir swat eingerichtet. unter dem menu status kann ich die aktivität der usern sehen aber nur zur laufzeit .... ich möchte das ich beispielweise sehen was der user xyz gestern auf dem server gemacht hat usw...

eine frage noch
in der smb.conf datei kann man eingeben ob die aktivitäten auf samba mit gelogt wird oder nicht und man kann auch level eingeben oder ???... was wird denn da alles mitgelogt ? kennt jemand eine seite die sich mit so was beschäftigt ...

vielen dank für jegliche hilfe

 

Zuletzt bearbeitet: 19.11.2004

D

dank0

Jungspund

• 19.11.2004

• #2

Bin zwar kein Samba Experte, aber steht das mit den Zugriffen nicht in den Loggdateien? Ich meine da gabs doch mal ein Befehl womit man das einstellen kann.

 

B

bananenman

Routinier

• 20.11.2004

• #3

ja. du kannst jeden zugriff von jeder einzelnen maschine in einem eigenen logfile ablegen lassen. eigentlich sollte das in der standardkonfiguration auch so eingestellt sein (jedenfalls ist es das bei slackware). ansonsten fügst du in die global-section folgendes ein:

# this tells Samba to use a separate log file for each machine
# that connects
log file = /var/log/samba.%m

mfg

bananenman

 

R9pxd

Tripel-As

• 20.11.2004

• #4

Webmin

Da kannst du sehen wer sich gerade von wo eingelogt hat

http://www.webmin.com

 

B

bananenman

Routinier

• 20.11.2004

• #5

dafür brauchst du den webmin nicht - das kannst du auch über die konsole:

#smbstatus

mfg

bananenman

 

N

nadine123

Mitglied

• 20.11.2004

• #6

ich danke euch für eure hilfe

 

Zuletzt bearbeitet: 20.11.2004

N

nadine123

Mitglied

• 20.11.2004

• #7

hallo
bananenman
die sache mit dem log%m ist eine fine sache aber da wird nicht alles eingelogt (oder kann man das irgendwo einstellen???)
ich möchte sehen können wer wann was erstellt, angelegt upgedatet usw... gibts ein web analyzier oder tools für solche logfiles weil es nicht übersichtlich wenn man in den logfile reinguckt ....

mit smbstatus
bekomme nur den aktuellen status, ich wollte sehen was man vor 3 tagen angestellt hat .

R9pxd:
die funktion bei webmin macht genau was smbstatus macht also nur zur laufzeit und wie gesagt ich möchte sehen können was ein user vor 10 tag gemacht hat ....

auf jeden fall danke euch für eure hilfe

 

B

bananenman

Routinier

• 20.11.2004

• #8

mmhhh - da hab ich dich wohl zumindest teilweise falsch verstanden.

ich möchte sehen können wer wann was erstellt, angelegt upgedatet

Zum Vergrößern anklicken....

theoretisch sollte das gehen - es müsste halt nur der loglevel erhöht werden (allerdings wieß ich jetzt so nicht, wo die "schraube" sitzt an der man drehen müsste). mit smbstatus habe ich eigendlich mehr R9pxd geantwortet als dir, denn du hast das schon genau erkannt: webmin ruft einfach nur den smbstatus ab.

ich such mal nach der "schraube" - kann ein bischen dauern ...

mfg

bananenman

 

E

e-axe

Jungspund

• 21.11.2004

• #9

Code:

[global]
debug timestamp = no
log level = 3
max log size = 100000
log file = /var/log/samba/%m.log

wenn dein global diese eintraege beinhaltet sollten alle zugriffe und aenderungen auf deinem samba server geloggt werden.

wenn man sich das log-format anschaut, so ist es sicher mit ein paar zeilen shellcode moeglich einen output zu generieren welcher alle zugriffe und aenderungen uebersichtlich darstellt.

e-axe

 

B

bananenman

Routinier

• 21.11.2004

• #10

mmhhh - loglevel 3 ist nicht besonders hoch angesetzt - je nachdem wieviel logfile du haben willst, kannst du den level bis auf 9 hochsetzen.

grummml - warum ist die loglevel-option in der smb.conf-samlpe von slackware nicht dokumentiert? sowas braucht man doch immer mal ....

mfg
bananenman

 

N

nadine123

Mitglied

• 21.11.2004

• #11

bananenman schrieb:

mmhhh - loglevel 3 ist nicht besonders hoch angesetzt - je nachdem wieviel logfile du haben willst, kannst du den level bis auf 9 hochsetzen.

Zum Vergrößern anklicken....

bis 10 kann man den level hochsetzen wenn ich dich korrekieren darf

e-axe schrieb:

wenn man sich das log-format anschaut, so ist es sicher mit ein paar zeilen shellcode moeglich einen output zu generieren welcher alle zugriffe und aenderungen uebersichtlich darstellt.

Zum Vergrößern anklicken....

ich brauche diese paar zeilen shellcode haste ?

 

E

e-axe

Jungspund

• 21.11.2004

• #12

wenn du mir eine logfile mit dem loglevel was du nun vorhast zu verwenden schickst, dann schreib ich dir ein solches script binnen weniger minuten...

an folgende adresse mailen: its31337/at/gmx\.\li

 

N

nadine123

Mitglied

• 21.11.2004

• #13

e-axe schrieb:

wenn du mir eine logfile mit dem loglevel was du nun vorhast zu verwenden schickst, dann schreib ich dir ein solches script binnen weniger minuten...

an folgende adresse mailen: its31337/at/gmx\.\li

Zum Vergrößern anklicken....

du hast post und vielen dank

kannst du dein code für die anderen hier posten ??? damit sie auch was davon haben können

 

P

Phate

Frickler/Kellerkommunist

• 21.11.2004

• #14

Fast alle anderen sind männlich. *scnr*

 

E

e-axe

Jungspund

• 21.11.2004

• #15

also...

ich moechte gleich vorneweg sagen das die logfile die du mir geschickt hast leider nciht genug informationen enthalten hat um alle deine wuensche zu erfuellen

(ich braeuchte eine logfile in der logins, zugriffe und loeschungen von min. 2-3 verschiedenen maschienen und accounts gemacht wurden)

dann fangen wir mal an...

mit folgender line erhaelst du alle connects inkl. datum und zeit aus der logfile:

Code:

grep -B 1 "connect to" log.old | awk -F']' '{ print $1 }' | awk -F',' '{ print $1 }' | awk -F'[' '{ print $1; print $2 }' | awk -F'\\(uid' '{ print $1 }' | sed s/"--"/""/g | uniq

da dies etwas unsauber formatier ausgegeben wird, hier eine andere loesung:

Code:

grep -B 1 "connect to" log.old | awk -F']' '{ print $1 }' | awk -F',' '{ print $1; print $3 }' | awk -F'[' '{ print $1; print $2 }' | awk -F'\\(uid' '{ print $1 }' | sed s/"--"/""/g | uniq | sed '/^$/d' | expand|sed '/^#/d'|sed -e 's/ \{2,\}/ /g'|sed -e 's/ /::/'|sort -t " "|awk -F:: '{print $2 " " $1}'|uniq -f1|sed -e 's/   /::/g'|awk -F:: '{print $2 " " $1}'

hiermit erhaelst du fuer die angegebene pid (da wo PID steht einfach die id eingeben die du erhaelst wenn du eine der ersten beiden lines oben ausfuehrst) alle zugriffe auf files und dirs:

Code:

tmp_pid="PID"; grep -A 1 $tmp_pid log.old | grep "call_trans2qfilepathinfo" | grep -v "TRANSACT2_QFILEINFO" | grep -v "TRANSACT2_QPATHINFO" | grep -v "switch message" | awk -F']' '{ print $1 }' | awk -F',' '{ print $1 }' | awk -F'[' '{ print $1; print $2 }' | awk -F'\\(uid' '{ print $1 }' | sed s/"--"/""/g | uniq | awk -F'\\(' '{ print $1 }'

das ganze kann man noch in ein shellscript haun und ein wenig user freundlich gestallten...

wenn du mir noch eine entsprechende logfile schickst (wie oben beschrieben) dann werd ich sehen was ich machen kann...

e-axe