audit

audit[edit]

• デーモン auditd

コマンド監視[edit]

設定ファイル（ルールファイル）[edit]

• /etc/audit/rules.d/audit.rules

  # すべての旧ルール削除  
  -D
  
  # バッファ増加  
  -b 8192
  
  # イベント待機時間60秒（バースト対策）
  --backlog_wait_time 60000
  
  # 失敗時にsyslogに通知  
  -f 1
  
  # 新しいルールの設定
  -a always,exit -F arch=b64 -S execve -k exec_log  # for 64bit system call
  -a always,exit -F arch=b32 -S execve -k exec_log  # for 32bit system call

ルールの更新[edit]

restart の失敗[edit]

• Failed to restart auditd.service: Operation refused, unit auditd.service may be requested by dependency only (it is configured to refuse manual start/stop).
  • 手動でのリスタートが禁止されている（セキュリティ上の問題）
  • RefuseManualStop=no, RefuseManualStart=no の時に発生

augenrules --load

ログファイル[edit]

• /var/log/audit/audit.log

ルール確認[edit]

• auditctl -l

確認[edit]

特定ユーザの実行コマンド履歴確認[edit]

• ausearch -k exec_log -ua root -i | awk '/^type=EXECVE/ {print}'

特定ユーザの実行コマンド（本日のみ）[edit]

• ausearch -k exec_log -ua alice -i -ts today | grep EXECVE
  • -i は日付を分かり易く表示

最新の30件

[edit]