一、auditd工具簡(jiǎn)介

??audited是Linux審核系統(tǒng)的用戶空間組件。它負(fù)責(zé)將審核記錄寫入磁盤。查看日志是通過ausearch或aureport實(shí)用程序完成的。審核系統(tǒng)或加載規(guī)則的配置是使用auditctl實(shí)用程序完成的。在啟動(dòng)過程中，/etc/audit/audit.rules中的規(guī)則由auditctl讀取并加載到內(nèi)核中。另外，還有一個(gè)augenrules程序，它讀取/etc/audit/rules.d/中的規(guī)則，并將它們編譯為audit.rules文件。審核守護(hù)進(jìn)程本身有一些管理員可能希望自定義的配置選項(xiàng)，它們位于audited.conf文件中。

二、auditd配置文件說明

1、配置文件關(guān)鍵字說明

2、默認(rèn)配置釋義

[root@s166 audit]# cat /etc/audit/auditd.conf
#
# This file controls the configuration of the audit daemon
#
#記錄本地事件
local_events = yes
#日志落盤存儲(chǔ)
write_logs = yes
#審計(jì)日志存儲(chǔ)路徑
log_file = /var/log/audit/audit.log
#日志文件屬組
log_group = root
#日志文件格式
log_format = RAW
#異步增量方式刷新到磁盤
flush = INCREMENTAL_ASYNC
#記錄數(shù)量達(dá)到此數(shù)值時(shí)寫入磁盤，與flush結(jié)合使用
freq = 50
#單個(gè)日志文件大小，單位為M，超過8M進(jìn)行日志分割
max_log_file = 8
#日志文件保存數(shù)量，超過的會(huì)被清除
num_logs = 5
#守護(hù)進(jìn)程優(yōu)先級(jí)
priority_boost = 4
#隊(duì)列滿是，丟棄事件記錄
disp_qos = lossy
#守護(hù)進(jìn)程啟動(dòng)的程序
dispatcher = /sbin/audispd
#審計(jì)事件不插入主機(jī)名
name_format = NONE
#管理員可以指定主機(jī)名，默認(rèn)注釋，未啟用
##name = mydomain
#日志文件超過大小時(shí)的動(dòng)作，ROTATE表示將日志輪轉(zhuǎn)分割
max_log_file_action = ROTATE
#系統(tǒng)磁盤空間剩余大小時(shí)執(zhí)行動(dòng)作，但是為M
space_left = 75
#系統(tǒng)磁盤空間不足時(shí)執(zhí)行的操作，發(fā)送SYSLOG告警
space_left_action = SYSLOG
#是否發(fā)送郵件，取值yes或者no
verify_email = yes
#發(fā)送郵箱的賬戶，默認(rèn)root@localhost,如果配置的是網(wǎng)絡(luò)郵箱，/usr/lib/sendmail確保正確配置
action_mail_acct = root
#磁盤空間剩余大小，剩余不足50M時(shí)停止審計(jì)記錄寫入
admin_space_left = 50
admin_space_left_action = SUSPEND
#磁盤滿或者磁盤錯(cuò)誤的時(shí)候停止寫入審計(jì)記錄
disk_full_action = SUSPEND
disk_error_action = SUSPEND
#如下是審計(jì)客戶端連接相關(guān)參數(shù)
use_libwrap = yes
##tcp_listen_port = 60
tcp_listen_queue = 5
tcp_max_per_addr = 1
##tcp_client_ports = 1024-65535
tcp_client_max_idle = 0
enable_krb5 = no
krb5_principal = auditd
##krb5_key_file = /etc/audit/audit.key
distribute_network = no

三、auditd相關(guān)命令與配置文件

1、auditd相關(guān)命令

• auditctl : 即時(shí)控制審計(jì)守護(hù)進(jìn)程的行為的工具，如添加規(guī)則等。
• **auditd ：**audit 守護(hù)進(jìn)程負(fù)責(zé)把內(nèi)核產(chǎn)生的信息寫入到硬盤上，這些信息由應(yīng)用程序和系統(tǒng)活動(dòng)觸發(fā)產(chǎn)生。用戶空間審計(jì)系統(tǒng)通過 auditd 后臺(tái)進(jìn)程接收內(nèi)核審計(jì)系統(tǒng)傳送來的審計(jì)信息，將信息寫入到 /var/log/audit/audit.log。
• aureport : 查看和生成審計(jì)報(bào)告的工具。
• ausearch : 查找審計(jì)事件的工具
• auditspd : 轉(zhuǎn)發(fā)事件通知給其他應(yīng)用程序，而不是寫入到審計(jì)日志文件中。
• autrace : 一個(gè)用于跟蹤進(jìn)程的命令。類似于 strace，跟蹤某一個(gè)進(jìn)程，并將跟蹤的結(jié)果寫入日志文件之中。
• aulast: 與last類似，但使用審計(jì)框架安裝
• aulastlog: 與lastlog類似，也使用審計(jì)框架
• ausyscall: 映射syscall ID和名稱
• auvirt: 顯示關(guān)于虛擬機(jī)的審計(jì)信息

2、auditd相關(guān)配置文件

• /etc/audit/auditd.conf : auditd工具的配置文件
• /etc/audit/rules.d/audit.rules：包含審核規(guī)則的文件，如果我們需要修改審計(jì)范圍，直接編輯該文件，并使用auditctl -R 命令重載審計(jì)規(guī)則配置文件
• /etc/audit/audit.rules : 記錄審計(jì)規(guī)則的文件，該配置文件是根據(jù)etc/audit/rules.d/audit.rules下的配置文件自動(dòng)生成

四、auditd使用舉例

1、查看當(dāng)前審計(jì)規(guī)則

[root@s166 audit]# auditctl -l
No rules

2、配置一條審計(jì)規(guī)則

[root@s166 audit]# echo “-w /etc/hosts -p wa -k hosts_change” >> rules.d/audit.rules

3、重載配置

[root@s166 audit]# auditctl -R /etc/audit/rules.d/audit.rules

4、再次查看審計(jì)規(guī)則

[root@s166 audit]# auditctl -l
-w /etc/hosts -p wa -k hosts_change

5、修改/etc/hosts文件

[root@s166 audit]# vim /etc/hosts
…
192.168.0.186 s186

6、查看審計(jì)記錄

[root@s166 audit]# ausearch --start today -k “hosts_change”

五、auditd服務(wù)管理

??auditd服務(wù)默認(rèn)開機(jī)自啟動(dòng)，配置了禁止手動(dòng)啟停服務(wù)，如果我們需要啟動(dòng)或者停止服務(wù)，需要修改/usr/lib/systemd/system/auditd.service中的RefuseManualStop=no，否則服務(wù)啟停服務(wù)命令，修改完成后執(zhí)行systemctl daemon-reload ，然后就可以手動(dòng)啟停管理服務(wù)了。實(shí)際上我們也可以不停止服務(wù)的情況下停止審計(jì)，只需要執(zhí)行auditd -s disable命令就可以停止審計(jì)記錄。

• 查看auditd服務(wù)狀態(tài)：systemctl status auditd
• 配置服務(wù)開機(jī)自啟動(dòng)：systemctl enable auditd
• 取消服務(wù)開機(jī)自啟動(dòng)：systemctl disable auditd
• 停止auditd服務(wù)：systemctl stop auditd
• 啟動(dòng)auditd服務(wù)：systemctl start auditd
• 重啟auditd服務(wù)：systemctl restart auditd
• 重載審計(jì)規(guī)則配置：auditctl -R /etc/audit/rules.d/audit.rules
• 停止審計(jì)：auditd -s disable
• 開啟審計(jì)：auditd -s enable

六、auditctl命令簡(jiǎn)介

??audit 我們可以使用auditctl臨時(shí)配置規(guī)則，服務(wù)重啟失效，如果需要配置永久生效，我們需要將規(guī)則寫入到配置文件中。auditd審計(jì)規(guī)則分成三個(gè)部分，

• 控制規(guī)則：這些規(guī)則用于更改審計(jì)系統(tǒng)本身的配置和設(shè)置。
• 文件系統(tǒng)規(guī)則：這些是文件或目錄監(jiān)視。 使用這些規(guī)則，我們可以審核對(duì)特定文件或目錄的任何類型的訪問。
• 系統(tǒng)調(diào)用規(guī)則：這些規(guī)則用于監(jiān)視由任何進(jìn)程或特定用戶進(jìn)行的系統(tǒng)調(diào)用。

1、命令語(yǔ)法

#auditctl [選項(xiàng)] filter,action -S syscall -F condition -k label

2、命令參數(shù)說明

3、命令選項(xiàng)說明

4、命令使用示例

• 添加一條指定路徑規(guī)則

[root@s166 audit]# auditctl -w /mnt/testfile -p wa -k config-change
[root@s166 audit]# auditctl -l
-w /etc/hosts -p wa -k hosts_change
-w /mnt/testfile -p wa -k config-change

• 刪除一條指定路徑規(guī)則

[root@s166 audit]# auditctl -W /mnt/testfile -p wa -k config-change
[root@s166 audit]# auditctl -l
-w /etc/hosts -p wa -k hosts_change

• 刪除所有規(guī)則

[root@s166 audit]# auditctl -D
No rules
[root@s166 audit]# auditctl -l
No rules

• 查看規(guī)則

[root@s166 audit]# auditctl -l
No rules

七、ausearch命令簡(jiǎn)介

??使用 ausearch ，您可以過濾和搜索事件類型。 它還可以通過將數(shù)值轉(zhuǎn)換為更加直觀的值（如系統(tǒng)調(diào)用或用戶名）來解釋事件。以根用戶身份執(zhí)行 ausearch 命令，當(dāng)顯示結(jié)果時(shí)，每個(gè)記錄用 4 條虛線組成的一行隔開，每個(gè)記錄前均顯示時(shí)間標(biāo)記。

1、常用參數(shù)說明

2、命令使用示例

• 查詢所有事件

[root@s166 audit]# ausearch -m all

• 查詢指定時(shí)間段的日志

[root@s166 audit]# ausearch --start today --end “now”

• 查詢指定用戶日志

[root@s166 audit]# ausearch -ua kingbase

• 根據(jù)文件路徑查找日志

[root@s166 audit]# ausearch -f /etc/hosts

• 根據(jù)系統(tǒng)調(diào)用查詢?nèi)罩?/li>

[root@s166 audit]# ausearch -sc open

• 根據(jù)過濾關(guān)鍵字查詢?nèi)罩?/li>

[root@s166 audit]# ausearch -k “hosts_change”

• 搜索系統(tǒng)登錄失敗日志

[root@s166 audit]# ausearch --message USER_LOGIN --success no --interpret

• 搜索所有的賬戶，群組，角色變更

[root@s166 audit]# ausearch -m ADD_USER -m DEL_USER -m ADD_GROUP -m USER_CHAUTHTOK -m DEL_GROUP -m CHGRP_ID -m ROLE_ASSIGN -m ROLE_REMOVE -i

• 搜尋從制定時(shí)間段的失敗的系統(tǒng)調(diào)用

[root@s166 audit]# ausearch --start “2023年10月22日” --end “now” -m SYSCALL -sv no -i

八、aureport命令簡(jiǎn)介

??要生成審計(jì)消息的報(bào)表，可使用 aureport 命令。如果執(zhí)行 aureport 時(shí)沒有使用任何選項(xiàng)，則會(huì)顯示如匯總報(bào)表。

1、常用參數(shù)說明

2、命令使用示例

• 生成所有報(bào)告

[root@s166 audit]# aureport

• 生成文件相關(guān)的報(bào)告

[root@s166 audit]# aureport -f

• 生成用戶相關(guān)的報(bào)告

[root@s166 audit]# aureport -u

• 生成配置變更報(bào)告

[root@s166 audit]# aureport -c

• 生成登錄記錄報(bào)告

[root@s166 audit]# aureport -l

• 生成指定時(shí)間段的報(bào)告

[root@s166 audit]# aureport -ts “8:00:00” -te “now” -l -i

Login Report
============================================
# date time auid host term exe success event
============================================
\1. 2023年10月25日 11:01:08 root 192.168.0.186 ssh /usr/sbin/sshd no 1413

• 生成所有用戶失敗事件的總結(jié)報(bào)告

[root@s166 audit]# aureport -u --failed --summary -i

Failed User Summary Report
===========================
total auid
===========================
34 root
20 unset

• 生成系統(tǒng)調(diào)用事件報(bào)告

[root@s166 audit]# aureport -s -i --summary

Syscall Summary Report
==========================
total syscall
==========================
161 setsockopt
57 execve
30 init_module
27 unshare
5 ioctl
4 open
2 write
2 rename
2 chmod
2 setxattr
1 fchmodat
1 unlinkat文章來源地址http://www.zghlxwxcb.cn/news/detail-762901.html

到了這里，關(guān)于Linux安全之a(chǎn)uditd審計(jì)工具使用說明的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！