部署audit监控文件

审计的目的是基于事先配置的规则生成日志，记录可能发生在系统上的事件（正常或非正常行为的事件），审计不会为系统提供额外的安全保护，但她会发现并记录违反安全策略的人及其对应的行为。

审计能够记录的日志内容：

a) 日期与事件以及事件的结果

b) 触发事件的用户

c) 所有认证机制的使用都可以被记录，如ssh等

d) 对关键数据文件的修改行为等都可以被记录

1）安装软件包，查看配置文件（确定审计日志的位置）

[root@localhost ~]# yum -y install aide

[root@localhost ~]# cat /etc/audit/auditd.conf

[root@localhost ~]# cat  /var/log/audit/audit.log 

@@define DBDIR /var/lib/aide

database_out=file:@@{DBDIR}/aide.db.new.gz

/root  DATAONLY

#/root

#/bin

#/etc

#/usr

aidi --init  生成数据库 >

aide  --check 读数据库

nmap  -sP -sT -sS -sU -A

ftp

ip

tcpdump抓包

A--交换机--》B

[root@localhost ~]# systemctl start auditd  

[root@localhost ~]# systemctl enable auditd

2）配置审计规则

可以使用auditctl命令控制审计系统并设置规则决定哪些行为会被记录日志。

[root@localhost ~]# auditctl -s   //查询状态
enabled 1
failure 1
pid 638
rate_limit 0
backlog_limit 8192
lost 0
backlog 0
loginuid_immutable 0 unlocked
[root@localhost ~]# 

[root@localhost ~]# auditctl  -l    //查看规则

No rules

[root@localhost ~]# auditctl  -D //删除所有规则

No rules

定义临时文件系统规则：

1. #语法格式：auditctl -w path -p permission -k key_name
2. # path为需要审计的文件或目录
3. # 权限可以是r,w,x,a(文件或目录的属性发生变化)
4. # Key_name为可选项，方便识别哪些规则生成特定的日志项
   

[root@localhost ~]# auditctl  -w  /etc/passwd  -p wa  -k  passwd_change

//设置规则所有对passwd文件的写、属性修改操作都会被记录审计日志

[root@localhost ~]# auditctl  -w  /etc/passwd  -p wa  -k  passwd_change

//设置规则，监控/etc/selinux目录

[root@localhost ~]# auditctl  -w  /etc/selinux/  -p wa  -k  selinux_change

//设置规则，监控fdisk程序

[root@localhost ~]# auditctl  -w  /usr/sbin/fdisk  -p x  -k  disk_partition

//设置规则，监控sshd_conf文件

[root@localhost ~]# auditctl  -w  /etc/ssh/sshd_conf  -p warx  -k  sshd_config

如果需要创建永久审计规则，则需要修改规则配置文件：

[root@localhost ~]# vim  /etc/audit/rules.d/audit.rules

步骤二：查看并分析日志

1）手动查看日志

查看SSH的主配置文件/etc/ssh/sshd_conf，查看audit日志信息：

[root@localhost ~]#  tailf  /var/log/audit/audit.log

type=CONFIG_CHANGE msg=audit(1531664156.140:231): auid=0 ses=6 subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 op=add_rule key="selinux_change" list=4 res=1

1. #内容分析
2. # type为类型
3. # msg为(time_stamp:ID)，时间是date +%s（1970-1-1至今的秒数）
4. # arch=c000003e，代表x86_64（16进制）
5. # success=yes/no，事件是否成功
6. # a0-a3是程序调用时前4个参数，16进制编码了
7. # ppid父进程ID，如bash，pid进程ID，如cat命令
8. # auid是审核用户的id，su - test, 依然可以追踪su前的账户
9. # uid，gid用户与组
10. # tty:从哪个终端执行的命令
11. # comm="cat"         用户在命令行执行的指令
12. # exe="/bin/cat"        实际程序的路径
13. # key="sshd_config"    管理员定义的策略关键字key
14. # type=CWD        用来记录当前工作目录
15. # cwd="/home/username"
16. # type=PATH
17. # ouid(owner's user id）    对象所有者id
18. # guid(owner's groupid）    对象所有者id

2）通过工具搜索日志

系统提供的ausearch命令可以方便的搜索特定日志，默认该程序会搜索/var/log/audit/audit.log，ausearch options -if file_name可以指定文件名。

[root@localhost ~]# ausearch -k sshd_config -i     //根据key搜索日志，-i选项表示以交互式方式操作

----
type=CONFIG_CHANGE msg=audit(2018年07月15日 22:22:48.834:240) : auid=root ses=6 subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 op=add_rule key=sshd_config list=exit res=yes 
[root@localhost ~]#