centos安装审计日志

centos安装audit审计日志

安装：

直接使用yum进行安装auditd系列程序：

yum -y install audit auditd-libs

相关命令：

1、auditctl : 即时控制审计守护进程的行为的工具，比如如添加规则等等。
auditctl -l #查看规则
auditctl -D #清空规则
2、aureport : 查看和生成审计报告的工具。
aureport -l #生成登录审计报告
3、ausearch : 查找审计事件的工具
ausearch -i -p 4096
4、autrace : 一个用于跟踪进程的命令。
autrace -r /usr/sbin/anacron

相关文件：

/etc/audit/audit.rules : 记录审计规则的文件。
/etc/audit/rules.d/ : 规则子目录，可以直接在这里面添加.rules文件生效配置
/etc/audit/auditd.conf : auditd工具的配置文件。
/var/log/audit/audit.log : 默认日志路径

配置文件介绍

1.vi /etc/audit/auditd.conf

local_events = yes			# 是否记录本地事件，如果设为no，只记录来自网络的事件
log_file = /var/log/audit/audit.log    	# 日志文件

flush = INCREMENTAL_ASYNC		# 日志文件刷新方式，可选的选项有：
                                        # NONE：不做特别处理
                                        # INCREMENTAL：用freq选项的值确定多长时间发生一次向磁盘的刷新
                                        # DATA：审计数据和日志文件是同步的
                                        # SYNC：写日志文件时，数据和元数据是同步的

max_log_file = 8			# 日志文件最大8MB
num_logs = 5				# 日志文件数量
priority_boost = 4			# 进程优先级(-4)，ps axl | grep auditd 可查

max_log_file_action = ROTATE		# 当log文件达到max_log_file设定大小后的动作。可选的动作有：
                                        # IGNORE：忽略max_log_file设置的限制，继续写log文件
                                        # SYSLOG：向syslog中写入一条warning
                                        # SUSPEND：auditd不再写log文件，但是auditd继续运行
                                        # ROTATE：分多个log文件，一个log文件达到上限后在创建一个新的不同名字的log文件

space_left = 75				# log_file文件所在的分区空闲空间少于这个设定的值时，触发相应的动作，单位是MB
space_left_action = SYSLOG		# space_left设定被触发时的动作。可选动作有：
                                        # IGNORE, SYSLOG, SUSPEND：与前面max_log_file_action相似
                                        # SINGLE：audit进程会将系统模式变为单用户模式
                                        # HALT：audit进程将会触发系统关机
                                        
disk_full_action = SUSPEND		# 磁盘满后触发的动作
disk_error_action = SUSPEND		# 磁盘错误触发的动作

配置审计规则

1.介绍：uditctl命令可以控制审计系统的基本功能、设定规则等，但为了定义重启后一直有效的审计规则，需要把规则定义到/etc/audit/rules.d/目录下，重启auditd时，/etc/audit/rules.d/目录下所有文件的规则会合并到/etc/audit/audit.rules。

2.在/usr/share/doc/audit-{version}/rules/目录下
cp /usr/share/doc/audit-2.8.4/rules/10-base-config.rules /usr/share/doc/audit-2.8.4/rules/30-nispom.rules /usr/share/doc/audit-2.8.4/rules/99-finalize.rules /etc/audit/rules.d/

3.重启auditd
service auditd restart

测试

1.搜索登录失败的日志信息：			  ausearch --message USER_LOGIN --success no --interpret
2.生成登录的审计报告：				  aureport -l