本文介绍了如何利用Linux系统内置的auditd工具来监控系统安全，特别是关注于跟踪/root/.ssh/authorized_keys文件的修改情况。通过运行'auditctl -w /root/.ssh/authorized_keys -p war -k auth_key'命令，可以设置监控规则，监控文件的append、write、read和execute操作。当发生变动时，使用ausearch -i -k auth_key搜索记录，并通过aureport生成报表，以便分析和审计系统安全事件。
安装: apt-get install auditd.（一般系统都会自带该命令）
auditd是后台守护进程，负责监控记录auditctl配置规则的工具auditsearch搜索查看aureport根据监控记录生成报表
比如，监控 /root/.ssh/authorized_keys 文件是否被修改过：
aditctl -w /root/.ssh/authorized_keys -p war -k auth_key
-w指明要监控的文件-p awrx要监控的操作类型，append, write, read, execute-k给当前这条监控规则起个名字，方便搜索过滤
查看修改纪录：ausearch -i -k auth_key，生成报表 aureport.
扫一扫
1071
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
