audit监控 nmap扫描 nginx，tomcat隐藏版本信息

nmap tcpdump audit nginx tomcat mysql安全设置

nmap

格式： nmap [扫描类型] [选项] <扫描目标>

• -sS, TCP SYN扫描(半开) 快但是默认被认为是攻击行为
• -sT，TCP 连接扫描(全开)
• -sU, UDP扫描
• -sP, ICMP扫描
• -A，目标系统全面分析
• -n , 不执行DNS解析 默认是将扫描目标当做域名的

tcpdump

选项	说明
-i	指定监控的网络接口 默认监听第一个网卡
-A	转换为ASCII码
-w	将数据包信息保存到指定文件
-r	从指定文件读取数据包信息

-i具体组合

过滤条件	参数
类型	host（主机）、net(网段)、port(端口)、portrange（端口范围）
方向	src（源地址）、dst（目标地址）
协议	tcp、udp、ip、wlan、arp…

可以使用and or not 来进行组合

举例：tcpdump -w log -i any src or dst port 3306

audit监控

审计的目的是基于事先配置的规则生成日志，记录可能发生在系统上的事件，不能够提供额外安全保护，但会发现并记录违反安全策略的人及其对应的行为 记录行为工具

审计能够记录的日志内容：

• 日期与事件以及事件的结果
• 触发事件的用户
• 所有认证机制的使用都可以被记录，如ssh等
• 对关键数据文件的修改行为等都可以被记录

案例

audit基本命令

命令参数	说明
auditctl -s	查询状态
auditctl -l	查看规则
auditctl -D	删除所有规则
auditctl -w path -p permission -k key_name	定义临时文件系统规则 w指定文件目录 p权限wrx a(文件或目录的属性发生变化）k可选项 指定key_name方便识别哪些规则产生的日志项

环境配置

yum -y install audit
cat /etc/audit/auditd.conf
======================
local_events = yes
write_logs = yes
log_file = /var/log/audit/audit.log   #日志位置
log_group = root
log_format = RAW
flush = INCREMENTAL_ASYNC
freq = 50
max_log_file = 8
num_logs = 5
priority_boost = 4
disp_qos = lossy
dispatcher = /sbin/audispd
name_format = NONE
##name = mydomain
max_log_file_action = ROTATE
space_left = 75
space_left_action = SYSLOG
verify_email = yes
action_mail_acct = root
admin_space_left = 50
admin_space_left_action = SUSPEND
disk_full_action = SUSPEND
disk_error_action = SUSPEND
use_libwrap = yes
##tcp_listen_port = 60
tcp_listen_queue = 5
tcp_max_per_addr = 1
##tcp_client_ports = 1024-65535
tcp_client_max_idle = 0
enable_krb5 = no
krb5_principal = auditd
##krb5_key_file = /etc/audit/audit.key
distribute_network = no
=====================================
systemctl enable --now auditd   

定义临时文件系统规则

auditctl -w /etc/passwd -p wa -k passwd_change
auditctl -w /etc/selinux/ -p wa -k selinux_change
auditctl -w /usr/sbin/fdisk -p x -k disk_partition
auditctl -w /etc/ssh/sshd_config -p warx -k sshd_config
#            指定文件或目录		指定权限     key_name标识用的

定义永久审计规则，修改规则配置文件

vim /etc/audit/rules.d/audit.rules
====================