audit基础

一、安装

1、Centos自带服务，如果没有可以直接安装：

        yum install audit -y

或：

        wget https://mirrors.aliyun.com/centos/7/os/x86_64/Packages/audit-libs-2.8.5-4.el7.x86_64.rpm    下载

        rpm -ivh audit-libs-2.8.5-4.el7.x86_64.rpm  解压

2、安装完之后，需要启动并设置开机自启

        systemctl start auditd   #启动
        systemctl enable auditd    #开机自启

二、简单使用

1、通过/etc/passwd、/etc/shadow的修改可以捕捉到账号的变更

        auditctl -w /etc/passwd -p wa -k identity

        auditctl -w /etc/shadow -p wa -k identity

        这里-w表示监控文件，-p wa表示监控写入(w)和属性更改(a)，-k identity为事件添加一个标记，方便在审计日志中查找。

2、通过监控/var/log/wtmp和/var/log/btmp文件来记录用户的登录和注销事件。

        auditctl -w /var/log/wtmp -p wa -k logins
        auditctl -w /var/log/btmp -p wa -k logins

  /var/log/wtmp记录登录、注销、关机和重启事件，而/var/log/btmp记录失败的登录尝试

3、通过监控/var/run/utmp文件可以跟踪当前登录的所有用户。

        auditctl -w /var/run/utmp -p wa -k session

        所有审计记录都将用标识符“session”标记，可以用who命令读取。

4、修改过配置后需要重启服务使之生效

        service auditd restart  #重启服务

        通过/var/log/audit/audit.log文件来查看信息变更

        cat /var/log/audit/audit.log

        ausearch -i    #查看详细日志

        ausearch -ts today  #可以按时间查看今天的日志

三、基础命令

• auditctl -version  #查看版本
• yum remove audit -y   #移除audit
• service auditd stop  #停止服务
• systemctl status auditd或systemctl status auditd   #查看服务状态