国产操作系统安装配置auditd审计工具 | 统信 | 麒麟 | 中科方德

原文链接：国产操作系统安装配置auditd审计工具 | 统信 | 麒麟 | 中科方德

Hello，大家好啊！今天给大家带来一篇在国产桌面操作系统上部署auditd审计工具的文章。auditd是Linux审计系统的核心守护进程，用于记录系统安全相关的事件和日志。部署和配置auditd可以帮助系统管理员监控系统活动，提高系统安全性。本文将详细介绍如何在国产桌面操作系统（如统信UOS、麒麟KOS、中科方德等）上安装和配置auditd。欢迎大家分享转发，点个关注和在看吧！

什么是auditd？

auditd是Linux审计系统的核心组件，用于记录系统内的各种安全事件，包括文件访问、系统调用、用户登录等。通过审计日志，管理员可以跟踪系统中的各种活动，识别和分析潜在的安全威胁。

安装auditd

在大多数Linux发行版中，auditd都可以通过包管理器安装。以下是安装auditd的步骤。

在Debian/Ubuntu基础的系统上（如统信UOS、麒麟KOS）

sudo apt update
sudo apt install auditd

在欧拉/龙晰基础的服务器系统上（如中科方德）

sudo yum install audit

配置auditd

安装完成后，需要对auditd进行配置，以满足具体的审计需求。

配置文件位置

auditd的主要配置文件是/etc/audit/auditd.conf。此外，审计规则配置文件通常位于/etc/audit/audit.rules。

1.查看系统信息

pdsyw@pdsyw-PC:~/Desktop$ cat /etc/os-version
pdsyw@pdsyw-PC:~/Desktop$ uname -a

2.更新软件源

pdsyw@pdsyw-PC:~/Desktop$ sudo apt update

3.安装audit工具

pdsyw@pdsyw-PC:~/Desktop$ sudo apt install auditd audispd-plugins -y

4.启动audit

pdsyw@pdsyw-PC:~/Desktop$ sudo systemctl start auditd
pdsyw@pdsyw-PC:~/Desktop$ sudo systemctl enable auditd
pdsyw@pdsyw-PC:~/Desktop$ sudo systemctl status auditd

5.备份audit规则文件

pdsyw@pdsyw-PC:~/Desktop$ sudo -i
root@pdsyw-PC:~# cd /etc/audit/rules.d/
root@pdsyw-PC:/etc/audit/rules.d# cp audit.rules{,.bak}

6.编辑规则

root@pdsyw-PC:/etc/audit/rules.d# vim audit.rules
root@pdsyw-PC:/etc/audit/rules.d# cat audit.rules
# 监控密码文件的修改
-w /etc/passwd -p wa -k passwd_changes
-w /etc/shadow -p wa -k shadow_changes
-w /etc/group -p wa -k group_changes
-w /etc/gshadow -p wa -k gshadow_changes
# 监控关键目录的访问
-w /var/log/ -p wa -k log_changes
-w /etc/ -p wa -k etc_changes
# 监控用户和组管理命令
-a always,exit -F arch=b64 -S all -F path=/usr/sbin/useradd -F perm=x -k user_management
-a always,exit -F arch=b64 -S all -F path=/usr/sbin/userdel -F perm=x -k user_management
-a always,exit -F arch=b64 -S all -F path=/usr/sbin/groupadd -F perm=x -k group_management
-a always,exit -F arch=b64 -S all -F path=/usr/sbin/groupdel -F perm=x -k group_management
# 监控网络配置文件的修改
-w /etc/hosts -p wa -k hosts_changes
-w /etc/network/ -p wa -k network_changes
# 监控系统启动脚本的修改
-w /etc/init.d/ -p wa -k init_changes
-w /etc/systemd/ -p wa -k systemd_changes
root@pdsyw-PC:/etc/audit/rules.d#

解释:

-w /etc/passwd：监控 /etc/passwd 文件。这个文件包含用户账户信息，例如用户名、UID、GID、家目录和shell。

-p wa：

w：监控对文件的写入操作（write）。

a：监控对文件的属性更改操作（attribute change）。

-k passwd_changes：为此规则分配关键字 passwd_changes，便于以后查找相关日志条目。

用途:

监控 /etc/passwd 文件可以帮助检测用户账户的添加、删除或修改。这对于审计用户管理活动非常重要。

解释:

-a always,exit：表示在所有系统调用（syscall）结束时（exit），始终应用此规则。

-F arch=b64：指定架构为64位（b64），这适用于64位系统。对于32位系统，可以使用arch=b32。

-S all：表示应用于所有系统调用。

-F path=/usr/sbin/useradd：过滤条件，指定路径为/usr/sbin/useradd，即useradd命令的路径。

-F perm=x：过滤条件，指定执行权限（execute permission）。

-k user_management：为此规则分配关键字 user_management，便于以后查找相关日志条目。

用途:

监控 useradd 命令可以帮助检测系统中何时添加了新用户，这对于审计用户管理活动非常重要。

7.重启audit

pdsyw@pdsyw-PC:~/Desktop$ sudo systemctl restart auditd
pdsyw@pdsyw-PC:~/Desktop$ sudo systemctl status auditd

8.验证Auditd配置

pdsyw@pdsyw-PC:~/Desktop$ sudo auditctl -l

9.监听日志文件

root@pdsyw-PC:~# tail -f /var/log/audit/audit.log

10.修改密码

11.日志文件内容

12.搜索包含特定关键字的条目

root@pdsyw-PC:~# sudo ausearch -k passwd_changes

ausearch 命令概述

ausearch 是 auditd 审计框架的一部分，用于搜索和显示审计日志中的记录。它提供了多种选项，可以根据不同的过滤条件查找审计日志中的特定事件。

选项和参数解释

ausearch：命令，用于搜索审计日志。

-k passwd_changes：选项 -k 表示搜索审计日志中带有特定关键字的条目。这里的关键字是 passwd_changes，它与之前配置的审计规则中的 -k passwd_changes 对应。

13.查看用户认证记录和模块活动

root@pdsyw-PC:~# sudo aureport -au
root@pdsyw-PC:~# sudo aureport -m

sudo aureport -au系统会生成一份用户认证相关事件的报告。这些事件包括用户登录、注销、失败的认证尝试等。

aureport -m 系统会生成一份与系统模块加载和卸载相关事件的报告。这些事件包括加载和卸载内核模块等。

14.备份配置文件

root@pdsyw-PC:~# cd /etc/audit/
root@pdsyw-PC:/etc/audit# cp auditd.conf{,.bak}

15.配置日志大小及日志轮换

root@pdsyw-PC:/etc/audit# vim auditd.conf

通过本文的介绍，您应该已经掌握了在国产桌面操作系统上部署和配置auditd审计工具的方法。auditd可以帮助您记录和监控系统中的安全事件，提高系统的安全性和可审计性。如果您觉得这篇文章有用，请分享和转发。同时，别忘了点个关注和在看，以便未来获取更多实用的技术信息和解决方案。感谢大家的阅读，我们下次再见！