Come stai registrando le loro attività in questo momento? Il più semplice è impedire loro di lanciare shell da vi.
# vi /home/user/.exrc
set exrc
set shell=/bin/false
# chown root:root /home/user/.exrc
# chmod 644 /home/user/.exrc
# chattr +i /home/user/.exrc
Se stai usando una shell speciale per registrare i loro comandi, puoi cambiare vi in modo che usi solo quella shell.
Puoi anche attivare la contabilità dei processi ( s/can/should/ !)
Puoi quindi utilizzare:
lastcomm(1)
per vedere il comando eseguito e se sono stati eseguiti dopo un fork, con o senza exec.
In combinazione con un IDS basato su host, questo dovrebbe darti ciò di cui hai bisogno "affinché la giustizia del re possa essere fatta su di lui".
Stai parlando della storia della shell? modalità vi shell (:sh ) avvia la shell predefinita dell'utente. Se è bash, puoi assicurarti che la registrazione della cronologia sia sempre abilitata modificando il file globale /etc/bashrc e aggiungendo:
set HISTFILE=~/.bash_history
shopt -s histappend
PROMPT_COMMAND='history -a'
ciò assicurerà che ogni comando utente venga registrato in un file, non venga sovrascritto e venga aggiornato ogni volta che viene visualizzato il prompt della shell.
Nota che gli utenti possono sovrascrivere questo nel loro ~/.bashrc personale quindi questa non è una garanzia assoluta che la registrazione avverrà.
Alcune versioni di vi (come nvi) supportano una modalità provvisoria che disabilita l'accesso alla shell, avviando vi come nvi -S . Puoi impostare un alias globale in /etc/bashrc per forzare anche questa modalità per impostazione predefinita.
Si noti che in generale il problema degli utenti che accedono alla shell con mezzi inaspettati è un classico problema di Unix. Non c'è modo di disabilitarlo completamente, il meglio che puoi fare è provare a limitare l'accesso per impostazione predefinita. Un utente sofisticato (o anche un utente che sa usare google) può sempre aggirare queste restrizioni. Ad esempio, se un utente non desidera che la cronologia della sua shell venga registrata, può sempre semplicemente eseguire una nuova copia della shell con qualsiasi opzione desideri utilizzare.
Ecco un ottimo resoconto su come forzare l'accesso in bash e sui modi in cui è possibile aggirare l'accesso.
Infine, hai pensato di parlare solo con l'utente per determinare cosa sta facendo? Il 99% delle volte una semplice comunicazione verbale può chiarire qualsiasi confusione. Se stai registrando l'attività di questo utente perché non ti fidi di lui, forse puoi parlare con lui delle tue preoccupazioni.