Контроль локальных юзеров FreeBSD

[HEDG_SS]

Доброе время суток всем!
Была поставлена следующая задача:
Есть сервера с FreeBSD 7.0 Realise, которые управляются по ssh. Доступ имеют несколько человек. Иногда возникают вопрос "Кто это сделал?". Вход выполняется под разными юзерами из группы wheel, затем делается su . Нужна система которая позволяет полностью логирует действия этих юзеров в том числе и после выполнения su.
Требования:
1. Вход/выход из системы (с фиксацией времени и ip с которого был конект)
2. Выполняемые команды с параметрами
3. Какие файлы менялись и что именно было изменено.
4. Сделать так чтоб файлы невозможно было отредактировать, например из-за того что они хранятсяя в особой форме, которую можно читать.
5. Чтоб эту систему сложно было выгрузить и при всех таких попытках даже при kill -9 шла запись, кто это сделал.
6. Желательно простая форма для просмотра логов.
7. Возможность нормальной ротации логов (встроенными или общесистемными функциями).

Настроил систему аудита, она удовлетворяет многим параметрам,но не всем (
1. Выполняемые команды пишутся без параметров.
2. Не пишет что именно поменялось в файле при его редактировании.
3. Не самая простая система просмотра логов, хотя это мелочь ) .

Посоветуйте, что можно использовать еще, вдополнение к auditd или вместо него

P.S. советы типа оставить доступ только себе в данном случае не приемлемы, с моему глубокому сожалению ( ...

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[zg]

"Кто это сделал?"

может проще доступ через sudo разграничить?

но тема в принципе интересная

[kirgudu]

Поставить судо. Так же для ssh есть патч, который все пишет в лог.

[HEDG_SS]

Поставить судо. Так же для ssh есть патч, который все пишет в лог.

Посмотрю обязательно , что может судо... Но меня больше интерисует не разгранничение доступа, а именно логирование с максимом возможностей т.к. я не единственный админ и в случае чего правды не найдешь , а так логи нас рассудят .
Патчик даже очень заинтерисовал! Можно больше информации о нем, где взять, как прикрутить )?

[zg]

я не единственный админ и в случае чего правды не найдешь

разграничение для того и задумано, чтоб "в случае чего" не было впринципе. Под рутом должен сидеть только один человек - администратор, все остальные под своими учётками и работать через sudo, никакого su.

[HEDG_SS]

разграничение для того и задумано, чтоб "в случае чего" не было впринципе. Под рутом должен сидеть только один человек - администратор, все остальные под своими учётками и работать через sudo, никакого su.

Я конечно согласен, это правильная "стратегия", но уменя ее реализовать пока не получается , и не по техническим причинам ( . Буду к этому стремиться . Sudo все равно не обеспечит отслеживание и полный контроль пункта "Какие файлы менялись и что именно было изменено.".

[Alex Keda]

http://www.lissyara.su/?id=1821
не устроит?

[HEDG_SS]

http://www.lissyara.su/?id=1821
не устроит?

Пробовал, вещь интересная, по большей части подошел бы, если его можно было нормально подружить с mc (
В этой статье нашел коментарий с сылкой на http://xgu.ru/wiki/LiLaLo , попробую что за зверь- отпишусь о впечатлениях .