audit审计

什么是审计

     --基于事先配置的规则生成日志,记录可能发生在系统上的事件

     --审计不会为系统提供额外的安全保护,但她会发现并巨鹿违反安全策略的人及其对应的行为

     --审计能够记录的日志内容

              --日期与事件、事件结果

              --触发事件的用户

              --所有认证机制的使用都可以被记录,如ssh等

              --对关键数据文件的修改行为等

审计的案例

       监控文件访问

       监控系统调用

       记录用户运行的命令

       审计可以监控网络访问行为

       ausearch工具,可以根据条件过滤审计日志

       aureport工具,可以生成审计报告

 

 

 

audit 

部署audit

使用审计系统需要安装audit软件包

主配置文件为/etc/audit/auditd.conf

 

]#yum -y install audit

]#cat /etc/audit/auditd.conf log_file = /var/log/audit/auditd.conf ##日志文件

]#systemctl start aditd ]#systemctl enable auditd

 

配置审计

auditctl命令

 

auditctl命令控制审计系统并设置规则决定那些行为会被记录日志

]# auditctl -s ##查询状态

]# auditctl -l ##查看规则

]# auditctl -D ##删除所有规则

定义临时规则

定义文件系统规则:

---auditctl -w path -p permission -k key_name

--path为需要审计的文件或目录

--权限可以是r,w,x,a(文件或目录的属性发生变化)

--_Key_name为可选项,方便识别那些规则生成特定的日志项

]# auditctl -w /etc/passwd -p wa -k passwd_change ##设置规则所有对passwd文件的写、属性修改操作都会被记录审计日志

]# auditctl -l -w /etc/passwd -p wa -k passwd_change

]# auditctl -w /etc/selinux/ -p wa -k selinux_change ##设置规则,监控/etc/selinux目录

]# auditctl -w /usr/sbin/fdisk -p x -k disk_partition ##设置规则,监控fdisk程序

]# auditctl -l

-w /etc/passwd -p wa -k passwd_change

-w /etc/selinux -p wa -k selinux_change -

w /usr/sbin/fdisk -p x -k disk_partition

 

定义永久规则

写如配置文件/etc/audit/rules.d/audit.rules

]# vim /etc/audit/rules.d/audit.rules

-w /etc/passwd -p wa -k passwd_change

-w /etc/selinux -p wa -k selinux_change

-w /usr/sbin/fdisk -p x -k disk_partition

系统提供的ausearch命令可以方便的搜索特定日志

--默认该程序会搜索/var/log/andit/audit.log

--ausearch options -if file_name可以制定文件

 

查看日志

       定义规则

           ]# auditctl  -w /etc/ssh/sshd_config   -p  warx  -k   sshd_config

查看日志

1. ~]# tailf /var/log/audit/audit.log
2. type=SYSCALL msg=audit(1517557590.644:229228): arch=c000003e
3. syscall=2 success=yes exit=3
4. a0=7fff71721839 a1=0 a2=1fffffffffff0000 a3=7fff717204c0
5. items=1 ppid=7654 pid=7808 auid=0 uid=0 gid=0 euid=0 suid=0
6. fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts2 ses=3 comm="cat"
7. exe="/usr/bin/cat"
8. subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="sshd_config"
9. .. ..
10. #内容分析
11. # type为类型
12. # msg为(time_stamp:ID)，时间是date +%s（1970-1-1至今的秒数）
13. # arch=c000003e，代表x86_64（16进制）
14. # success=yes/no，事件是否成功
15. # a0-a3是程序调用时前4个参数，16进制编码了
16. # ppid父进程ID，如bash，pid进程ID，如cat命令
17. # auid是审核用户的id，su - test, 依然可以追踪su前的账户
18. # uid，gid用户与组
19. # tty:从哪个终端执行的命令
20. # comm="cat"         用户在命令行执行的指令
21. # exe="/bin/cat"        实际程序的路径
22. # key="sshd_config"    管理员定义的策略关键字key
23. # type=CWD        用来记录当前工作目录
24. # cwd="/home/username"
25. # type=PATH
26. # ouid(owner's user id）    对象所有者id
27. # guid(owner's groupid）    对象所有者id

 

搜索日志

系统提供的ausearch命令可以方便的搜索特定日志

--默认该程序会搜索/var/log/andit/audit.log

--ausearch options -if file_name可以制定文件名

]# ausearch -k disk

type=EXECVE msg=audit(1564451144.821:10): argc=2 a0="fdisk" a1="/dev/vda"

type=SYSCALL msg=audit(1564451144.821:10): arch=c000003e syscall=59 success=yes exit=0 a0=1520ce0 a1=14b3e30 a2=152d5d0 a3=7ffe16234ae0 items=2 ppid=850 pid=1121 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=1 comm="fdisk" exe="/usr/sbin/fdisk" key="disk_partition"

]#ausearch -k passwd_change

type=CWD msg=audit(1564451750.676:15): cwd="/root"

type=SYSCALL msg=audit(1564451750.676:15): arch=c000003e syscall=82 success=yes exit=0 a0=7ffe5e042790 a1=564995031ce0 a2=7ffe5e042700 a3=564996be09a0 items=5 ppid=850 pid=1144 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=1 comm="useradd" exe="/usr/sbin/useradd" key="passwd_change"

 

]# aureport ##查看统计信息

Summary Report

======================

Range of time in logs: 2019年07月30日 09:21:45.716 - 2019年07月30日 09:55:50.676

Selected time for report: 2019年07月30日 09:21:45 - 2019年07月30日 09:55:50.676

Number of changes in configuration: 6

Number of changes to accounts, groups, or roles: 3

系统提供的ausearch命令可以方便的搜索特定日志

--默认该程序会搜索/var/log/andit/audit.log

--ausearch options -if file_name可以制定文件

Number of logins: 0 Number of failed logins: 0

Number of authentications: 0

Number of failed authentications: 0

Number of users: 2 Number of terminals: 3

Number of host names: 2

Number of executables: 3

Number of commands: 3

Number of files: 5

Number of AVC's: 0

Number of MAC events: 0

Number of failed syscalls: 0

Number of anomaly events: 0

Number of responses to anomaly events: 0

Number of crypto events: 0

Number of integrity events: 0

Number of virt events: 0

Number of keys: 3

Number of process IDs: 4

Number of events: 14