<13>bashuser: type="2" time="2011-06-29  10:44:03" src_ip="192.168.14.83"  dst_ip="192.168.99.243" primary_user=""  secondary_user="bashuser"operation="" content="login  successful" authen_status="Success" log_level="1"  sessionid="12182"

1. 在每次用户登录时产生日志；
2. 日志中需要包含登录时间、源IP地址、目的IP地址、登录用户、sessionid这些关键信息的值；

[root@RHEL2 ~]#  logger -p user.notice "this is a logger test"

• 登录时间：up_nowtime=`(date -d now +"%Y-%m-%d%T")`
• 源IP地址：up_client_ip=`(who am i|cut -d\( -f2|cut-d\) -f1)`
• 目的IP：直接写主机IP，可以不用命令获取；
• 登录用户：命令whoami的值；
• sessionid：变量$$的值；
  到此，我们的logger命令如下，我们定义的事件级别是user.notice。

logger -p  user.notice -- class=\"HOST_LOGIN\" type=\"2\"  time=\"$up_nowtime\" src_ip=\"$up_client_ip\"  dst_ip=\"192.168.56.102\" primary_user=\"\"  secondary_user=\"$(whoami)\" operation=\"\"  content=\"login successful\" authen_status=\"Success\"  log_level=\"1\" session_id=\"$$\"

# Add content in  /etc/bashrc# Log bash user  login and command historyup_client_ip=`(who  am i|cut -d\( -f2|cut -d\) -f1)`up_nowtime=`(date  -d now +”%Y-%m-%d %T”)`logger -p  user.notice — class=\”HOST_LOGIN\” type=\”2\” time=\”$up_nowtime\”  src_ip=\”$up_client_ip\” dst_ip=\”192.168.56.102\” primary_user=\”\”  secondary_user=\”$(whoami)\” operation=\”\” content=\”login successful\”  authen_status=\”Success\” log_level=\”1\” session_id=\”$$\”

1. 不同shell的用户，启动的配置文件不一样，那么需要配置的文件也不一样，如何选择；
2. 通过本地登录的情况，会不会记录日志、格式有没有变化、是否需要排除；
3. 获取源IP地址的命令，获取到的IP地址是否为IP格式（有可能是主机名、0.0.0.0或者为空等）；
4. 用户之间进行su、su -切换时的情况，是否需要记录日志以及是否能正确记录日志；
5. crontab定时任务里配置了自动登录情况时的问题；

• 每个shell有两个用户1和2（如 bash1\bash2为两个shell为bash的用户）；
• shell一栏区分不同shell用户的情况，包括sh、bash、csh、ksh、tcsh；
• 操作一栏均为用户1执行的操作，以bash1用户为例分别为：

• bash1用户登录系统；
• bash1用户执行bash命令；
• bash1用户使用su bash2命令切换到bash2用户；
• bash1用户使用su - bash2命令切换到bash2用户；

• 是否需要登录日志：标明该种情况是否需要产生登录日志，以bash用户为例，对于上述四种情况分别为：登录（是）、执行bash命令（否）、su bash2切换用户（是）、su -bash2切换用户（是）；
• 登录日志是否存在：对应上述“是否需要登录日志”，描述实际测试的结果是否符合预期。

• 需要产生登录日志但是测试不能产生登录日志（如Linux ksh环境）；
• 不需要产生登录日志但是产生了登录日志（很少见，测试的几个shell只有AIX csh是这样）；

• 综合考虑系统的syslog配置，定义合适的facility和severity，文中我们定义的是user.notice。
• 选择合适的启动文件，如对bash来说，这些启动文件/etc/profile、/etc/bashrc、~/.bash_profile、~/.bash_login、~/.profile如何选择，是需要考虑的。这也是为什么在上面测试过程中我们要测试用户登录过程、执行bash命令、执行su、su -命令这些场景，必须清楚在这些过程中执行的启动文件顺序。
• 遇到最多的问题是获取源IP地址的问题，需要根据实际情况灵活变化。