Linux审计工具auditd使用与日志收集

0 概述

Auditd工具可以帮助运维人员审计Linux，分析发生在系统中的发生的事情。Linux 内核有用日志记录事件的能力，包括记录系统调用和文件访问。管理员可以检查这些日志，确定是否存在安全漏洞（如多次失败的登录尝试，或者用户对系统文件不成功的访问）。

1 安装

Centos7默认已安装Audit

使用命令service auditd status可查看该服务是否开启

2 配置文件

在/etc/audit路径下

auditd.conf文件 ----审计工具的配置文件
audit.rules文件 ----审计的规则，该文件由/etc/audit/rules.d产生
audit-stop.rules文件 ----审计停止规则，该文件定义了停止检测
rules.d目录 ----定义需要审计的规则，写到文件之后会永久有效

如下是auditd.conf，审计工具配置文件。在该文件中，用中文增加了对应的参数值解释。详细解释，可查阅官方解释：https://linux.die.net/man/8/auditd.conf

3 auditd工具

 auditctl：auditd默认操作命令
 aureport：生成和查看审计规则的文件
 ausearch：是一个搜索各种事件的工具
 autrce：用于跟踪进程的命令

3.1 auditctl命令

auditctl –l 查看当前定义的规则

auditctl –a 添加一条检测规则(当前添加的规则临时有效，永久生效需要修改配置文件)

auditctl -a action,filter -S system_call -F field=value -k key_name

action和filter 明确一个事件被记录。action可以为always或者never，filter明确出对应的匹配过滤，filter可以为：task、exit、user、exclude。
system_call 明确出系统调用的名字，几个系统调用可以写在一个规则里，如-S xxx -S xxx。系统调用的名字可以在/usr/include/asm/unistd_64.h文件中找到。其中字段中具体解释，参考: https://blog.youkuaiyun.com/xiyangfan/article/details/5259258
field=value 作为附加选项，修改规则以匹配特定架构、GroupID，ProcessID等的事件。具体有哪些字段，可以参考https://linux.die.net/man/8/auditctl
如：一个文件被user ID为1000或者更大的用户删除，或重命名，记录审计，命令如下：

auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete

auditctl -a always,exit -F path=/etc/shadow -F perm=wa

等价于 auditctl –w /etc/shadow –p wa

auditctl –d 删除一条规则

auditctl –D 删除所有规则

auditctl –w 指定要审计的文件或目录路径

auditctl –p[r|w|x|a] 和-w一起使用指定触发审计的文件/目录的访问权限

rwxa ： 指定的触发条件，r 读取权限，w 写入权限，x 执行权限，a 属性（改变在文件或者目录中的属性)

auditctl –k 指定别名，方便下次审计时可以根据该名字进行调用，并查看相关的信息

auditctl –s 查看auditd服务状态

auditctl -e  设置使能标志

设置为0，关闭audit，设置为1，开启audit；当设置为2时，表示锁定，一般在设置完其他规则后最后设置，防止其他人修改规则；任何修改规则的行为都会被拒绝，并且记录审计日志，只有当重启系统后，这个使能标志才可以被修改。

3.2 aureport命令

aureport 生成总结性记录

-au	关于身份验证的报表
-c	关于配置更改的报表
-cr	关于加密事件的报表
-e	关于事件的报表
-f	关于文件的报表
-i	解释模式
-if<输入文件名>	使用文件作为输入
-h	关于主机的报表
-l	有关登录的报表
-k	关于key的报表
-m	关于账户修改的报表
-ma	关于强制访问控制（MAC）事件的报表
-p	关于进程的报表
-s	关于系统调用的报表
-tm	关于终端的报表
--node<节点名>	特定节点的事件
--success	在报表中只显示成功的事件
--failed	在报表中只显示失败的事件
-n	关于异常事件的报表
--summary	在报表中为主要对象排序总数
-r	关于异常事件响应的报表
-t	日志时间范围报表
-te<结束日期><结束时间>	报表结束时间
-ts<开始日期><开始时间>	报表起始时间
--tty	关于tty的报表
-u	关于用户的报表
-x	关于可执行文件的报表

3.3 ausearch命令

ausearch -a 5207   搜寻当前audit服务中event ID等于5207的log

ausearch –k xx 按指定别名查看审计内容

ausearch –i  格式化输出

ausearch –f  根据指定的审计目录或文件查看审计内容

ausearch -m    #按消息类型查找

ausearch -ul   #按登陆ID查找

ausearch -ua   #按uid和euid查找

ausearch -ui   #按uid查找

ausearch -ue   #按euid查找

ausearch -ga   #按gid和egid查找

ausearch -gi   #按gid查找

ausearch -ge   #按egid查找

ausearch -c    #按cmd查找

ausearch -x    #按exe查找

ausearch -sc   #按syscall查找

ausearch -p    #按pid查找

ausearch -sv   #按syscall的返回值查找（yes/no）

ausearch -f    #按文件名查找

ausearch -tm   #按连接终端查找(term/ssh/tty)

ausearch -hn   #按主机名查找

ausearch -k    #按特定的key值查找

ausearch -w    #按在audit rule设定的字符串查找

3.4 autrce

为了跟踪设置的rule有没有生效，我们经常会追踪指定的进程，autrace生成的log会存放在/var/log/audit/audit.log。 当用autrace去跟踪一个进程时，为了保证避免autrace与之前audit rule生成的日志冲突，使用auditctl -D去停止所有的audit log, 当autrace结束后，使用systemctl restart auditd重启audit服务。

autrace /usr/bin/less

4 审计日志

4.1 例子

添加如下两条审计的规则：

auditctl -w /root/chen/test.sh -p wxra -F uid=root -k auditest1

auditctl -a always,exit -F arch=b64 -S unlink -S unlinkat -S rename -S renameat -S mkdir -S rmdir -S creat -F uid!=root -F dir=/root/chen/test -k auditest2

添加完成之后用auditctl –l查看相关信息：

使用ausearch -k auditest1 -i 和ausearch -k auditest2 -i查看当前的审计日志

审计日志内容显示，当前审计规则已经录入
分别使用root和非root用户运行test.sh脚本，sh test.sh，此时再查看审计日志

此时可以使用命令ausearch –k auditest1 -i查看审计内容，只有root用户执行的命令被审计日志记录下来

同样在/root/chen/test目录下分别使用root和非root用户创建文件root和chen目录

使用命令ausearch -k auditest2 –i –c mkdir，只有非root用户创建文件夹的操作会被记录

4.2 审计日志内容分析

type=SYSCALL

每条记录都是以type=”keyword“开头，SYSCALL表示这条记录是向内核的系统调用触发产生的。更详细的type值和解释可以参考:https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/security_guide/sec-Audit_Record_Types

audit

在audit(time_stamp:ID)格式中，记录时间戳，从1970年1月1日00:00:00到现在的时间，ID为记录中唯一的ID标识，同一个事件产生的ID是相同的。

arch=c000003e

表示系统的CPU架构，这个十六进制表示”x86_64“，使用命令ausearch -i --arch c000003e可以打印出有这部分内容的audit.log中日志的解释。需要注意的是，使用ausearch来查询时，需要保证audit log中有这样的日志记录。

syscall=257

向内核的系统调用的类型，类型值为257，在/usr/include/asm/unistd_64.h中有定义，这里257表示openat，可以使用命令ausyscall来查询不同的数字对应的系统调用名称。或者使用ausyscall --dump命令来显示所有的系统调用。

success=yes

表示系统调用成功与否

exit=3

系统调用结束时的返回码，可以使用如下命令来查看返回值为3的日志解释，不同的系统调用，返回值不同

#ausearch --interpret --exit 3
a0=ffffffffffffff9c a1=21e0550 a2=90800 a3=0

系统调用时的前四个arguments，这些arguments依赖于使用的系统调用，可以使用ausearch来查看解释（部分参数可以打印出数值具体的解释）。

items=1

表示跟在系统调用后，补充记录的个数。

ppid=2354

父进程ID，如bash的ID。

pid=30729

进程Id，即为ls进程的ID。我们通过ps来查询，可以看到bash的进程与ppid是对应的

auid=0

auid记录Audit user ID,that is the loginuid。auid为登录用户的ID，如果是root，ID为0。
uid=1001，gid=1001, euid=1001, suid=1001, fsuid=1001, egid=1001, sgid=1001, fsgid=1001
uid为启动这个分析进程的用户的ID，即具体执行进程的用户ID。后面分别对应着，group ID组用户ID，effective user ID有效用户ID, set user ID设置用户ID, file system user ID文件系统用户ID, effective group ID有效组用户ID, set group ID设置组用户ID, file system group ID文件系统组ID

tty=pts0

具体在哪个终端tty执行的操作。如执行ls这个操作是在哪个终端进行的。

ses=10868　　

session ID，对话ID。

comm=ls

什么命令导致的审计记录。

exe=“/usr/bin/ls”

记录可执行文件的具体路径

type=CWD

type值为CWD，即current working directory。记录的是当前进程的位置

inode=99213313 

inode表示这个文件或目录的inode number，可以用如下命令来查询当前inode对应的文件

find / -inum 99213313 -print

dev=08:11

dev字段，指明device的minor和major ID。

mode=040755

mode字段表示文件或路径的权限。

ouid=0

对象所有者的ID

ogid=0

对象所有组者ID.

4.3 审计日志报告

使用aureport命令可以生成日志报告

aureport –au 生成关于身份验证的报告

aureport –k –i 按之前设置的关键字生成报表 

aureport –s 按系统调用生成报表

aureport –ts 02/02/2021 00:00:00 –te today 按指定时间生成报表

aureport -p –i 按进程的pid生成报表

aureport –t 按时间查看日志

aureport –if <文件名> 按文件名生成报表