Auditd Linux Tutorial

1. Was macht Auditd unter Linux??
2. Was kann Auditd tun??
3. Was wird von Auditd protokolliert??
4. Wie aktiviere ich Überwachungsprotokolle unter Linux??
5. Wie verwende ich Ausearch Linux??
6. Was ist Audispd unter Linux??
7. Woher weiß ich, ob die Prüfung ausgeführt wird??
8. Was ist der Audit-Daemon??
9. Was ist eine Prüfungsregel??
10. Was ist AUID unter Linux??
11. Wie aktiviere ich die Überwachung??
12. Wie finde ich Audit-Dateien unter Linux??

Was macht Auditd unter Linux??

auditd ist die Userspace-Komponente des Linux-Auditing-Systems. Es ist dafür verantwortlich, Überwachungsaufzeichnungen auf die Festplatte zu schreiben. Das Anzeigen der Protokolle erfolgt mit den Dienstprogrammen ausearch oder aureport. Das Konfigurieren des Prüfsystems oder der Laderegeln erfolgt mit dem Dienstprogramm auditctl.

Was kann Auditd tun??

Mithilfe dieser Ereigniskategorien können Sie Aktivitäten wie Authentifizierungen, fehlgeschlagene kryptografische Vorgänge, abnormale Abbrüche, Programmausführung und SELinux-Änderungen überwachen. Wenn Überwachungsregeln ausgelöst werden, gibt das Linux-Überwachungssystem einen Datensatz mit einer Vielzahl von Feldern aus.

Was wird von Auditd protokolliert??

Der Linux Audit-Daemon (auditd) ist die Anlaufstelle für den Zugriff auf das Linux Audit-Framework, das als Userspace-Komponente vorhanden ist: auditd kann Ereignisse aus dem Kernel basierend auf benutzerdefinierten Regeln abonnieren.

Wie aktiviere ich Überwachungsprotokolle unter Linux??

Lösung

1. Melden Sie sich bei der Linux-Box an und übernehmen Sie root. ...
2. Bearbeiten Sie / etc / profile und fügen Sie die folgenden Zeilen am Ende der Datei hinzu: ...
3. Speichern und beenden Sie / etc / profile.
4. Bearbeiten Sie / etc / rsyslog.conf und fügen Sie die folgenden Zeilen am Ende der Datei hinzu: ...
5. Speichern und beenden Sie / etc / rsyslog.conf.

Wie verwende ich Ausearch Linux??

Das Dienstprogramm ausearch kann auch Eingaben von stdin entgegennehmen, solange es sich bei den Eingaben um die Rohdaten des Protokolls handelt. Jede angegebene Befehlszeilenoption bildet eine "und" -Anweisung. Wenn Sie beispielsweise mit -m und -ui suchen, werden Ereignisse zurückgegeben, die sowohl den angeforderten Typ haben als auch mit der angegebenen Benutzer-ID übereinstimmen.

Was ist Audispd unter Linux??

audispd ist ein Audit-Event-Multiplexer. ... Es nimmt Überwachungsereignisse auf und verteilt sie an untergeordnete Programme, die Ereignisse in Echtzeit analysieren möchten. Wenn der Audit-Daemon ein SIGTERM oder SIGHUP empfängt, leitet er dieses Signal auch an den Dispatcher weiter. Der Dispatcher leitet diese Signale wiederum an seine untergeordneten Prozesse weiter.

Woher weiß ich, ob die Prüfung ausgeführt wird??

Wenn Sie die oben genannten Pakete nicht installiert haben, führen Sie diesen Befehl als Root-Benutzer aus, um sie zu installieren. Überprüfen Sie als Nächstes, ob auditd aktiviert ist und ausgeführt wird, und geben Sie die folgenden systemctl-Befehle auf dem Terminal aus. Jetzt werden wir sehen, wie auditd mit der Hauptkonfigurationsdatei / etc / audit / auditd konfiguriert wird. conf.

Was ist der Audit-Daemon??

Der Audit-Daemon ist ein Dienst, der Ereignisse auf einem Linux-System protokolliert. ... Das in diesem Artikel beschriebene Audit-Framework ist Teil des Linux-Kernels und kann daher den Zugriff auf einen Computer bis auf die Systemaufrufebene steuern. Der Audit-Daemon kann den gesamten Zugriff auf Dateien, Netzwerkports oder andere Ereignisse überwachen.

Was ist eine Prüfungsregel??

Kontrollregeln - Ermöglichen das Ändern des Verhaltens des Audit-Systems und einiger seiner Konfigurationen. ... Dateisystemregeln - auch als Dateiüberwachung bezeichnet - ermöglichen die Überwachung des Zugriffs auf eine bestimmte Datei oder ein Verzeichnis. Systemaufrufregeln - Ermöglichen die Protokollierung von Systemaufrufen, die von einem bestimmten Programm ausgeführt werden.

Was ist AUID unter Linux??

Das Feld auid zeichnet die Audit-Benutzer-ID auf, dh die Loginuid. Diese ID wird einem Benutzer beim Anmelden zugewiesen und von jedem Prozess vererbt, auch wenn sich die Identität des Benutzers ändert (z. B. durch Wechseln der Benutzerkonten mit dem Befehl su - john).

Wie aktiviere ich die Überwachung??

Sie sollten einen Eintrag sehen, der mit dem im Regeleintrag konfigurierten Schlüssel gekennzeichnet ist (Abbildung C). Abbildung C: Auditd hat unsere Änderung in der Hosts-Datei erfolgreich erfasst. Und das ist alles, was Sie tun müssen, um Auditd zu aktivieren und dem System eine neue Regel hinzuzufügen.

Wie finde ich Audit-Dateien unter Linux??

Linux-Überwachungsdateien, um festzustellen, wer Änderungen an einer Datei vorgenommen hat

1. Um die Überwachungsfunktion verwenden zu können, müssen Sie die folgenden Dienstprogramme verwenden. ...
2. => ausearch - Ein Befehl, der die Audit-Daemon-Protokolle basierend auf Ereignissen abfragen kann, die auf verschiedenen Suchkriterien basieren.
3. => aureport - ein Tool, das zusammenfassende Berichte der Audit-Systemprotokolle erstellt.