Was sind die besten Tools oder Befehle zum Überwachen von SSH-Sitzungen auf einem Server?

2 Wer befiehlt

Ein weiterer Befehl, mit dem Sie SSH-Sitzungen auf einem Server überwachen können, ist der Befehl who. Der Befehl who ähnelt dem Befehl w, zeigt jedoch standardmäßig weniger Informationen an. Der Befehl who zeigt nur den Benutzernamen, das Terminal, die Anmeldezeit und die IP-Adresse der Benutzer an, die derzeit am Server angemeldet sind. Sie können auch Optionen wie -a, -b oder -r verwenden, um weitere Informationen anzuzeigen, z. B. die Systemstartzeit, die Ausführungsebene oder die letzte Änderung der Systemuhr. Zum Beispiel zeigt who-a alle verfügbaren Informationen an, einschließlich der Systemstartzeit, der Ausführungsebene, der Anmeldeprozesse, der Leerlaufprozesse und der von init erzeugten Prozesse.

3 Letzter Befehl

Der letzte Befehl ist ein weiteres nützliches Tool zur Überwachung von SSH-Sitzungen auf einem Server, zeigt jedoch eher die Vergangenheit als die Gegenwart an. Der letzte Befehl zeigt den Verlauf der Benutzer an, die sich beim Server an- und abgemeldet haben, einschließlich Benutzername, Terminal, IP-Adresse, Anmeldezeit, Abmeldezeit und Dauer der Sitzung. Sie können den letzten Befehl ohne Optionen verwenden, um den gesamten Verlauf anzuzeigen, oder Sie können Optionen wie -n, -f oder -t verwenden, um die Ausgabe einzuschränken oder zu filtern. Zum Beispiel zeigt last -n 10 nur die letzten 10 Einträge an, last -f /var/log/wtmp.1 zeigt den Verlauf aus einer anderen Datei als der Standarddatei an und last -t 20210901 zeigt nur die Einträge seit dem 1. September 2021 an.

4 PS-Befehl

Der Befehl ps ist ein vielseitiges Tool zum Überwachen von SSH-Sitzungen auf einem Server sowie von anderen Prozessen, die auf dem Server ausgeführt werden. Der Befehl ps zeigt Informationen zu den Prozessen an, z. B. die Prozess-ID, den Benutzer, das Terminal, die CPU-Zeit, die Speicherauslastung und den Befehl. Sie können den Befehl ps mit verschiedenen Optionen verwenden, um die Ausgabe auszuwählen oder zu formatieren. Zum Beispiel zeigt ps -u username nur die Prozesse an, die zu einem bestimmten Benutzer gehören, ps -ax zeigt alle Prozesse auf dem Server an und ps -o pid,user,tty,time,args zeigt nur die angegebenen Felder für jeden Prozess an.

5 kill-Befehl

Der Befehl kill ist nicht gerade ein Werkzeug zur Überwachung von SSH-Sitzungen auf einem Server, aber es ist ein Werkzeug, um sie zu kontrollieren oder zu beenden. Der Befehl kill sendet ein Signal an einen Prozess, damit er ordnungsgemäß gestoppt oder beendet wird. Sie können den Befehl kill mit der Prozess-ID der SSH-Sitzung verwenden, die Sie beenden möchten, oder mit einer Signalnummer oder einem Namen, um anzugeben, wie sie beendet werden soll. Zum Beispiel sendet kill 1234 das Standardsignal (SIGTERM) an den Prozess mit der ID 1234, kill -9 1234 sendet das SIGKILL-Signal an den Prozess mit der ID 1234, wodurch er zum sofortigen Beenden gezwungen wird, und kill -HUP 1234 sendet das SIGHUP-Signal an den Prozess mit der ID 1234, wodurch er aufhängt und die Verbindung schließt.

6 Snoop-Befehl

Der Befehl snoop ist ein Tool zur Überwachung von SSH-Sitzungen auf einem Server auf einer niedrigeren Ebene, indem die Netzwerkpakete, die vom Server gesendet und empfangen werden, erfasst und analysiert werden. Der Befehl snoop kann Ihnen helfen, Netzwerkprobleme zu beheben, Sicherheitsverletzungen zu erkennen oder Netzwerkaktivitäten zu überwachen. Sie können den Befehl snoop mit verschiedenen Optionen verwenden, um die Pakete zu filtern oder anzuzeigen. Zum Beispiel erfasst snoop -d eth0 die Pakete auf der eth0-Schnittstelle, snoop -v zeigt die ausführliche Ausgabe jedes Pakets an und snoop Port 22 zeigt nur die Pakete an, die sich auf SSH (Port 22) beziehen.