博客介绍了auditd的安装及启动状态查看方法，通过service auditd status命令判断是否启动。还展示了查看和添加规则的操作，如auditctl -l和auditctl -a等命令。运行测试程序后，可通过tail -f /var/log/audit/audit.log或ausearch查看日志，最后介绍了添加过滤规则的方法。
安装auditd
查看auditd是否启动
service auditd status
如果出现 Active: active (running)，说明已启动。
先查看规则：
auditctl -l
添加规则：
auditctl -a always,exit -F arch=b64 -S socket
auditctl -a always,exit -F arch=b64 -S connect
auditctl -a always,exit -F arch=b64 -S sendmmsg
auditctl -a always,exit -F arch=b64 -S sendmsg
auditctl -a always,exit -F arch=b64 -S bind
auditctl -a always,exit -F arch=b64 -S recvmsg
auditctl -a always,exit -F arch=b64 -S close
类似这样的规则，
运行测试程序
例如： echo "Hello World\!" | nc -4u 192.168.1.163 5000
通过查看tail -f /var/log/audit/audit.log系统调用
或者ausearch查看日志
添加过滤规则
auditctl -a always,exit -F a0!=0
扫一扫
419
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
