Acct : Comptabilité des Processus sous Linux

L'essentiel

• Le paquet et le service s'appellent acct sur Debian/Ubuntu mais psacct sur CentOS/RHEL : c'est le même outil, seul le nom change.
• Trois commandes exploitent les données collectées : lastcomm pour le détail chronologique des commandes, sa pour un résumé agrégé par commande, ac pour le temps de connexion en heures.
• La comptabilité ne démarre qu'une fois le service lancé : systemctl start acct puis systemctl enable acct pour qu'elle survive au redémarrage.
• Toutes les données atterrissent dans /var/log/account/pacct, un fichier qui grossit en continu.
• La rotation logrotate est obligatoire : sans un /etc/logrotate.d/acct (weekly, rotate 4, compress), ce fichier finit par saturer la partition racine.

Pourquoi Utiliser acct ?

• Audit de Sécurité : Traçabilité complète des commandes exécutées, utile pour les investigations post-incident.
• Suivi des Ressources : Analyse de la consommation CPU et mémoire par utilisateur ou par processus.
• Monitoring d'Activité : Visibilité sur l'activité des utilisateurs et des services système.

Prérequis

• Système d'exploitation : Distribution Linux (Debian, Ubuntu, CentOS, RHEL).
• Privilèges : Accès root ou privilèges sudo.

Installation de acct

Étape 1 : Installation du paquet

Le nom du paquet varie selon la distribution :

# Pour Debian / Ubuntu
sudo apt-get update
sudo apt-get install -y acct

# Pour CentOS / RHEL
sudo yum install -y psacct

Étape 2 : Activation du service

Une fois installé, le service doit être activé et démarré :

sudo systemctl start acct
sudo systemctl enable acct
# Pour CentOS/RHEL, le service se nomme psacct
sudo systemctl start psacct
sudo systemctl enable psacct

Vérifiez que le service est bien actif :

sudo systemctl status acct # ou psacct

Commandes principales de acct

Plusieurs commandes permettent d'exploiter les données collectées.

lastcomm : Dernières commandes exécutées

Affiche la liste des commandes exécutées, de la plus récente à la plus ancienne.

lastcomm

Pour filtrer par utilisateur ou par commande :

# Commandes exécutées par l'utilisateur 'morgann'
lastcomm morgann

# Toutes les exécutions de la commande 'ls'
lastcomm ls

sa : Résumé par commande

La commande sa fournit un résumé des informations collectées, agrégées par commande.

# Résumé de base
sa

# Trier par le nombre d'appels
sa -n

# Afficher les informations par utilisateur
sa -m

ac : Temps de connexion par utilisateur

Affiche le temps de connexion total des utilisateurs en heures.

# Temps total par utilisateur
ac -p

# Temps total pour tous les utilisateurs
ac

Fichiers de log et Rotation

Les données sont stockées par défaut dans /var/log/account/pacct. Ce fichier peut grossir rapidement.

Configuration de la rotation

Il est crucial de mettre en place une rotation des logs avec logrotate. Créez un fichier /etc/logrotate.d/acct :

sudo nano /etc/logrotate.d/acct

Contenu du fichier :

/var/log/account/pacct {
    weekly
    rotate 4
    compress
    missingok
    notifempty
    create 0644 root root
}

Conclusion

L'outil acct ou psacct est un excellent moyen de renforcer la sécurité et la surveillance de vos systèmes Linux. Il fournit une traçabilité indispensable pour l'audit et l'analyse de performance. Son installation et sa configuration sont simples, mais n'oubliez pas de gérer la rotation de ses logs pour une utilisation sereine en production.