Linux审计工具auditd使用与日志收集

0 概述

Auditd工具可以帮助运维人员审计Linux，分析发生在系统中的发生的事情。Linux 内核有用日志记录事件的能力，包括记录系统调用和文件访问。管理员可以检查这些日志，确定是否存在安全漏洞（如多次失败的登录尝试，或者用户对系统文件不成功的访问）。

1 安装

Centos7默认已安装Audit

使用命令service auditd status可查看该服务是否开启

2 配置文件

在/etc/audit路径下

auditd.conf文件 ----审计工具的配置文件
audit.rules文件 ----审计的规则，该文件由/etc/audit/rules.d产生
audit-stop.rules文件 ----审计停止规则，该文件定义了停止检测
rules.d目录 ----定义需要审计的规则，写到文件之后会永久有效

如下是auditd.conf，审计工具配置文件。在该文件中，用中文增加了对应的参数值解释。详细解释，可查阅官方解释：https://linux.die.net/man/8/auditd.conf

3 auditd工具

 auditctl：auditd默认操作命令
 aureport：生成和查看审计规则的文件
 ausearch：是一个搜索各种事件的工具
 autrce：用于跟踪进程的命令

3.1 auditctl命令

auditctl –l 查看当前定义的规则

auditctl –a 添加一条检测规则(当前添加的规则临时有效，永久生效需要修改配置文件)

auditctl -a action,filter -S system_call -F field=value -k key_name

action和filter 明确一个事件被记录。action可以为always或者never，filter明确出对应的匹配过滤，filter可以为：task、exit、user、exclude。
system_call 明确出系统调用的名字，几个系统调用可以写在一个规则里，如-S xxx -S xxx。系统调用的名字可以在/usr/include/asm/unistd_64.h文件中找到。其中字段中具体解释，参考: https://blog.youkuaiyun.com/xiyangfan/article/details/5259258
field=value 作为附加选项，修改规则以匹配特定架构、GroupID，ProcessID等的事件。具体有哪些字段，可以参考https://linux.die.net/man/8/auditctl
如：一个文件被user ID为1000或者更大的用户删除，或重命名，记录审计，命令如下：

auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete

auditctl -a always,exit -F path=/etc/shadow -F perm=wa

等价于 auditctl –w /etc/shadow –p wa

auditctl –d 删除一条规则

auditctl –D 删除所有规则

<