Auditd-Linux安全審計工具

介紹

Auditd工具能夠幫助運維人員審計Linux。

安裝

$ apt-get install auditd

工具

auditd擁有一系列的工具

• /etc/audit/rules.d/audit.rules：包含審覈規則的文件
• aureport：生成和查看審計規則的文件
• ausearch：是一個搜索各類事件的工具
• autrce：用於跟蹤進程的命令
• /etc/audit/auditd.conf：審計工具的配置文件

使用

auditctl

$ auditctl -help

查看幫助。

查看規則

$ auditctl -l

審覈文件

$ auditctl -w /etc/passwd -p rwxa

運行以後就會對/etc/passwd文件進行監控。
各個參數：

-w：此參數將在路徑中插入文件系統對象的監視
-p：此參數描述文件系統監視將觸發的權限訪問類型
rwxa：是綁定到上面的-p參數的屬性。讀取r，w寫入，x是執行，a是屬性

若是不想要繼續監控下去，只需：

$ auditctl -W /etc/passwd

審覈目錄

$ auditctl -w /data/

ausearch

用來查看審覈的日誌。
例如：

$ ausearch -f /etc/passwd
...

具體能夠參考：https://linoxide.com/how-tos/...

aureport

$ aureport

不加任何參數，將生成審計活動的摘要報告。
若是有出現驗證失敗，能夠：

$ aureport -au

若是想要查看於帳戶修改相關的全部事件，加上-m參數：

$ aureport -m

審覈配置文件

若是想要審覈永久化的話，須要編輯/etc/audit/rules.d/audit.rules

而後從新加載配置文件：

$ augenrules --load

或者重啓服務：

$ systemctl restart auditd

參考來源

https://linoxide.com/how-tos/...