Linux系统audit审计.doc

linux审计是做什么?
是在对文件的操作做审计,这些操作不管是用vim,cp,rm,cat,底层来讲都是一些定义好的系统调用。
man 2 syscalls 查看内核支持的所有系统调用 。
open
write
read
close

/etc/init.d/auditd start
自己根据需要去写审计规则：
auditctl
[root@ linux]# auditctl -l
No rules
[root@ linux]# auditctl -s
AUDIT_STATUS: enabled=0 flag=1 pid=0 rate_limit=0 backlog_limit=64 lost=10861 backlog=0
[root@ linux]# auditctl -e 1
AUDIT_STATUS: enabled=1 flag=1 pid=0 rate_limit=0 backlog_limit=64 lost=10861 backlog=0

auditctl

auditctl -a exit,always -S open -F path=/etc/shadow
auditctl -a exit,always -S open -F path=/etc/shadow -k "SHADOW"
[root@stu154 ~]#ausearch -k SHADOW
[root@stu154 ~]#ausearch -f /etc/shadow
[root@stu154 ~]#grep SHADOW /var/log/audit/audit.log
[root@stu154 ~]#auditctl -a entry,always -S all -F pid=3070 -k "SSHD" 想看看谁在什么时候SSHD登录过！
[root@stu154 ~]#auditctl -a exit,always -S all -F uid!=0 对于所有用户（除root外）

[root@stu154 ~]#auditctl -a exit,always -S open -S write -F uid!=0

只要是UID不为0的用户对/etc/shadow文件做了open,write的操作都会审计记录下来：
[root@stu154 ~]#auditctl -a exit,always -S open -S write -F uid!=0 -F path=/etc/shadow -k "NOROOTUSER"
[root@stu154 ~]#ausearch -k "NOROOTUSER"
[root@stu154 ~]#ausearch -ui 1008
[root@stu154 ~]#ausearch -sv no 按照程序执行的返回值来 有yes 和no两种

对于etc目录中的文件有写操作时，就记录下来！！！
[root@stu154 ~]#auditctl -w /etc -p w -k "PERM"

实例：
需要对一些常用的命令做审计：
ls bash ps insmod
[root@stu154 ~]#auditctl -a exit,always -S all -F path=/bin/insmod -F perm=rwa
[root@stu154 ~]#auditctl -a exit,always -S all -F path=/bin/ps -F perm=rwa
[root@stu154 ~]#auditctl -a exit,always -S all -F path=/bin/ls -F perm=rwa
[root@stu154 ~]#auditctl -a exit,always -S all -F path=/bin/bash -F perm=rwa
-----------------------------------
对/lib/modules/$(uname -r)
[root@mail ~]# auditctl -a exit,always -S write -F dir=/lib/modules/2.6.18-128.el5/