audit审计规则配置方法

 

1.概述

Linux提供了一个审计服务auditd。

默认情况下,开启这个服务只记录较少的资料。

这可能不满足大多数人的需要。但是如果开启全部记录,对于生产环境,可能负载过重,导致影响正常的服务。因此,根据实际需要进行配置是必须的。

Linux系统提供了一些配置的例子可以参考。

/usr/share/doc/audit-2.4.5

audit审计规则配置方法_第1张图片

audit规则可以使用auditctl命令或配置规则文件来实现。

auditctl命令可以立即生效,但是重启服务会丢失配置的规则。

使用配置文件配置,需要在/etc/audit/audit.rules配置文件中添加规则,然后重启auditd服务生效。

2..auditctl命令简介

规则查看:auditctl -l

状态查看:auditctl -s

audit审计规则配置方法_第2张图片

添加规则:auditctl -w 路径或路径+文件 -p 规则 -k 关键字

例子:

/scripts目录下发生读、写、执行、属性变化进行审计记录:auditctl -w /scripts -p rwxa

/bin目录下发生执行进行审计记录:auditctl -w /bin -p x

audit审计规则配置方法_第3张图片

添加规则后在查看一下

这次看到2条规则。

-k参数是一个可选项,允许填写一个字符串,说明这个规则的用途,这个字符串在记录后可以用于过滤使用。

定义系统调用规则:auditctl -a  action,filter -S system_call -F field=value -k key_name

action和filter 明确一个事件被记录。action可以为always或者never,filter明确出对应的匹配过滤,filter可以为:task,exit,user,exclude

system_call 明确出系统调用的名字,几个系统调用可以写在一个规则里,如-S xxx -S xxx。系统调用的名字可以在/usr/include/asm/unistd_64.h文件中找到

field=value 作为附加选项,修改规则以匹配特定架构、GroupID,ProcessID等的事件。

例子:

定义一个规则,当每次使用系统调用adjtimex或者settimeofday时,并且为64位架构,记录审计日志,命令可以输入如下:

auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time_change
一个文件被user ID为1000或者更大的用户删除,或重命名,记录审计,命令如下:

 auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete
注意:-F auid!=4294967295 这个是为了排除login UID没有被设置的用户。

其他命令:

-D删除所有规则

-W删除一条规则(和-w对应)

-d删除一条UI规则(和-a对应)

audit审计规则配置方法_第4张图片

4.编辑规则

基本参数与命令auditctl一致,只需要直接写入配置文件/etc/audit/audit.rules,重启auditd服务即可。

/etc/audit/rules.d下放置的文件,可以被导入到audit.rules配置文件。

导入命令:augenrules --load

 

你可能感兴趣的:(其他)