Tutorial su Linux Auditd

1. Cosa fa Auditd in Linux?
2. Cosa può fare Auditd?
3. Cosa viene registrato da Auditd?
4. Come si abilitano i log di controllo in Linux?
5. Come utilizzare Ausearch Linux?
6. Cos'è Audispd in Linux?
7. Come faccio a sapere se l'audit è in esecuzione?
8. Cos'è il daemon di audit?
9. Cos'è una regola di controllo?
10. Cos'è AUID in Linux?
11. Come si abilita il controllo?
12. Come trovo i file di controllo in Linux?

Cosa fa Auditd in Linux?

auditd è il componente dello spazio utente per il sistema di controllo Linux. È responsabile della scrittura dei record di controllo sul disco. La visualizzazione dei log viene eseguita con le utilità ausearch o aureport. La configurazione del sistema di controllo o il caricamento delle regole viene eseguita con l'utilità auditctl.

Cosa può fare Auditd?

Utilizzando queste categorie di eventi, è possibile controllare attività come autenticazioni, operazioni crittografiche non riuscite, terminazioni anomale, esecuzione di programmi e modifiche SELinux. Quando vengono attivate le regole di controllo, il sistema di controllo Linux emette un record con una varietà di campi.

Cosa viene registrato da Auditd?

Il demone Linux Audit (auditd) è l'applicazione ideale per accedere al framework Linux Audit, che esiste come componente dello spazio utente: auditd può iscriversi agli eventi dal kernel in base a regole definite dall'utente.

Come si abilitano i log di controllo in Linux?

Soluzione

1. Accedi al box linux e assume root. ...
2. Modifica / etc / profile e aggiungi le seguenti righe in fondo al file: ...
3. Salva ed esci da / etc / profile.
4. Modifica / etc / rsyslog.conf e aggiungi le seguenti righe in fondo al file: ...
5. Salva ed esci da / etc / rsyslog.conf.

Come utilizzare Ausearch Linux?

L'utilità ausearch può anche ricevere input da stdin purché l'input sia i dati di registro non elaborati. Ogni opzione della riga di comando fornita forma un'istruzione "and". Ad esempio, cercare con -m e -ui significa restituire eventi che hanno sia il tipo richiesto che corrispondono all'id utente fornito.

Cos'è Audispd in Linux?

audispd è un multiplexor di eventi di controllo. ... Prende gli eventi di controllo e li distribuisce ai programmi figlio che desiderano analizzare gli eventi in tempo reale. Quando il daemon di audit riceve un SIGTERM o SIGHUP, trasmette anche quel segnale al dispatcher. Il dispatcher a sua volta trasmette quei segnali ai suoi processi figli.

Come faccio a sapere se l'audit è in esecuzione?

Se non hai i pacchetti sopra installati, esegui questo comando come utente root per installarli. Quindi, controlla se auditd è abilitato e in esecuzione, esegui i comandi systemctl di seguito sul terminale. Ora vedremo come configurare auditd utilizzando il file di configurazione principale / etc / audit / auditd. conf.

Cos'è il daemon di audit?

Il daemon Audit è un servizio che registra gli eventi su un sistema Linux. ... Il framework di controllo descritto in questo articolo fa parte del kernel Linux e può quindi controllare l'accesso a un computer fino al livello della chiamata di sistema. Il daemon Audit può monitorare tutti gli accessi a file, porte di rete o altri eventi.

Cos'è una regola di controllo?

Regole di controllo: consentono di modificare il comportamento del sistema di controllo e alcune delle sue configurazioni. ... Le regole del file system, note anche come file watch, consentono il controllo dell'accesso a un particolare file o directory. Regole per le chiamate di sistema: consente la registrazione delle chiamate di sistema effettuate da qualsiasi programma specificato.

Cos'è AUID in Linux?

Il campo auid registra l'ID utente Audit, ovvero il loginuid. Questo ID viene assegnato a un utente al momento del login e viene ereditato da ogni processo anche quando l'identità dell'utente cambia (ad esempio, cambiando account utente con il comando su - john).

Come si abilita il controllo?

Dovresti vedere una voce contrassegnata con la chiave configurata nella voce delle regole (Figura C). Figura C: Auditd ha rilevato con successo la nostra modifica nel file hosts. E questo è tutto ciò che serve per abilitare Auditd e aggiungere una nuova regola al sistema.

Come trovo i file di controllo in Linux?

File di controllo di Linux per vedere chi ha apportato modifiche a un file

1. Per utilizzare la funzione di controllo è necessario utilizzare le seguenti utilità. ...
2. => ausearch: un comando che può interrogare i log del daemon di audit in base agli eventi basati su diversi criteri di ricerca.
3. => aureport - uno strumento che produce rapporti di riepilogo dei log del sistema di controllo.