CentOS7的审计配置

　　通过auditd，系统审核允许系统管理员监视其系统这样他们就可以检测到未经授权的数据访问或修改。

默认情况下，auditd将审核SELinux AVC拒绝、系统登录、帐户修改和身份验证事件。事件将记录到 /var/log/audit/audit.log

配置文件：

/etc/audit/auditd.conf
/etc/audit/rules.d/audit.rules
/etc/audit/audit.rules #　根据/etc/audit/rules.d/audit.rules自动生成

配置开机启动

systemctl enable  auditd

配置规则（man auditctl）

规则类型可分为：

控制规则：控制audit系统的规则；
文件系统规则：也可以认为是文件监控，可以监控一个特定文件或者一个路径。
系统调用规则：可以记录特定程序的系统调用。

1. 控制规则：

-b 设置在内核中audit缓冲空间的最大值。

-f 这个选项来决定内核如何处理critical erros：0=silent 1=printk 2=panic.默认值为1。

-e 设置使能标志，设置为0，为关闭了audit，设置为1，则开启audit；当设置为2时，表示锁定，一般在设置完其他规则后最后设置，防止其他人修改规则；任何修改规则的行为都会被拒绝，并且记录审计日志，只有当重启系统后，这个使能标志才可以被修改。

2. 文件系统规则

auditctl -w path -p permissions -k key_name

-w : 目录或者文件路径
-p：描述文件系统监视将触发的权限访问类型，r=读取，w=写入，x=执行，a=属性更改。
-k: 设置审核规则的筛选关键字

3. 系统调用规则

auditctl -a [list,action|action,list] -S [Syscall name or number|all] -F field=value -k key_name

-a: action和list 明确一个事件被记录。action可以为always或者never，list明确出对应的匹配过滤，list可以为：task,exit,user,exclude,filesystem。
-S: system_call 明确出系统调用的名字，几个系统调用可以写在一个规则里，如-S xxx -S xxx。系统调用的名字可以在/usr/include/asm/unistd_64.h文件中找到。
-F: field=value 作为附加选项，修改规则以匹配特定架构、GroupID，ProcessID等的事件。具体有哪些字段，可以参考man linux https://linux.die.net/man/8/auditctl

配置实例

记录系统的日期和时间的修改

vim + /etc/audit/rules.d/audit.rules

-a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time-change
-a always,exit -F arch=b32 -S adjtimex -S settimeofday -S stime -k timechange
-a always,exit -F arch=b64 -S clock_settime -k time-change
-a always,exit -F arch=b32 -S clock_settime -k time-change
-w /etc/localtime -p wa -k time-change

记录用户和组的修改的事件

-w /etc/group -p wa -k identity
-w /etc/passwd -p wa -k identity
-w /etc/gshadow -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/security/opasswd -p wa -k identity

记录网络环境修改时间

-a always,exit -F arch=b64 -S sethostname -S setdomainname -k system-locale
-a always,exit -F arch=b32 -S sethostname -S setdomainname -k system-locale
-w /etc/issue -p wa -k system-locale
-w /etc/issue.net -p wa -k system-locale
-w /etc/hosts -p wa -k system-locale
-w /etc/sysconfig/network -p wa -k system-locale
-w /etc/sysconfig/network-scripts/ -p wa -k system-locale

记录登录和登出事件

-w /var/log/lastlog -p wa -k logins
-w /var/run/faillock/ -p wa -k logins

记录会话启动事件

-w /var/run/utmp -p wa -k session
-w /var/log/wtmp -p wa -k logins
-w /var/log/btmp -p wa -k logins

文件/var/run/utmp跟踪当前登录的所有用户。所有审计记录都将用标识符“session”标记，可以用who命令读取

/var/log/wtmp文件跟踪登录、注销、关机和重新启动事件。

文件/var/log/btmp跟踪失败的登录尝试，可以通过输入命令 ‘/usr/bin/last-f /var/log/btmp’ 读取。所有审核记录都将被标记为标识符“logins”

监视对文件权限、属性、所有权和组的更改

-a always,exit -F arch=b64 -S chmod -S fchmod -S fchmodat -F auid>=1000 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=b32 -S chmod -S fchmod -S fchmodat -F auid>=1000 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=b64 -S chown -S fchown -S fchownat -S lchown -F auid>=1000 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=b32 -S chown -S fchown -S fchownat -S lchown -F auid>=1000 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=b64 -S setxattr -S lsetxattr -S fsetxattr -S removexattr -S lremovexattr -S fremovexattr -F auid>=1000 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=b32 -S setxattr -S lsetxattr -S fsetxattr -S removexattr -S lremovexattr -S fremovexattr -F auid>=1000 -F auid!=4294967295 -k perm_mod

在所有情况下，审核记录将只为非系统用户id（auid>=1000）并将忽略守护进程事件（auid=4294967295）。

所有审计记录用标识符“perm_mod”标记

记录未授权文件访问尝试

-a always,exit -F arch=b64 -S creat -S open -S openat -S truncate -S ftruncate -F exit=-EACCES -F auid>=1000 -F auid!=4294967295 -k access
-a always,exit -F arch=b32 -S creat -S open -S openat -S truncate -S ftruncate -F exit=-EACCES -F auid>=1000 -F auid!=4294967295 -k access
-a always,exit -F arch=b64 -S creat -S open -S openat -S truncate -S ftruncate -F exit=-EPERM -F auid>=1000 -F auid!=4294967295 -k access
-a always,exit -F arch=b32 -S creat -S open -S openat -S truncate -S ftruncate -F exit=-EPERM -F auid>=1000 -F auid!=4294967295 -k access

确保收集使用特权命令

监视特权程序（那些在执行时设置了setuid和/或setgid位的程序）以确定没有权限的用户是否正在运行这些命令。

通过下面命令

find / -xdev \( -perm -4000 -o -perm -2000 \) -type f | awk
'{print \
"-a always,exit -F path=" $1 " -F perm=x -F auid>=1000 -F auid!=4294967295 \
-k privileged" }'

得到记录

-a always,exit -F path=/usr/bin/wall -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/chfn -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/chsh -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/chage -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/gpasswd -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/newgrp -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/mount -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/su -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/umount -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/sudo -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/write -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/crontab -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/ssh-agent -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/pkexec -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/bin/passwd -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/sbin/unix_chkpwd -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/sbin/pam_timestamp_check -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/sbin/netreport -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/sbin/usernetctl -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/sbin/postdrop -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/sbin/postqueue -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/lib/polkit-1/polkit-agent-helper-1 -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/libexec/utempter/utempter -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/libexec/dbus-1/dbus-daemon-launch-helper -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged
-a always,exit -F path=/usr/libexec/openssh/ssh-keysign -F perm=x -F auid>=1000 -F auid!=4294967295  -k privileged

收集成功挂载磁盘事件

-a always,exit -F arch=b64 -S mount -F auid>=1000 -F auid!=4294967295 -k mounts
-a always,exit -F arch=b32 -S mount -F auid>=1000 -F auid!=4294967295 -k mount

确保收集用户的文件删除事件

-a always,exit -F arch=b64 -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete
-a always,exit -F arch=b32 -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete

确保收集对系统管理范围（sudoers）的更改

-w /etc/sudoers -p wa -k scope
-w /etc/sudoers.d/ -p wa -k scope

监视sudo日志文件

如果系统已正确配置为禁用su命令并强制所有管理员必须先登录，然后使用sudo执行特权命令，

然后所有管理员命令将被记录到/var/log/sudo.log文件.

每当执行命令时，审核事件将被触发为/var/log/sudo.log文件将打开文件进行写入，并执行管理命令将写入日志。

-w /var/log/sudo.log -p wa -k actions

确保收集内核模块加载和卸载

-w /sbin/insmod -p x -k modules
-w /sbin/rmmod -p x -k modules
-w /sbin/modprobe -p x -k modules
-a always,exit -F arch=b64 -S init_module -S delete_module -k modules

确保审核配置是不可变的

审核规则不能使用auditctl修改。设置标志“-e2“强制将审核置于不可变模式。进行审核更改只能对系统重新启动。

-e 2

CentOS7的审计配置

配置文件：

配置开机启动

配置规则（man auditctl）

1. 控制规则：

2. 文件系统规则

3. 系统调用规则

配置实例

记录系统的日期和时间的修改

记录用户和组的修改的事件

记录网络环境修改时间

记录登录和登出事件

记录会话启动事件

监视对文件权限、属性、所有权和组的更改

记录未授权文件访问尝试

确保收集使用特权命令

收集成功挂载磁盘事件

确保收集用户的文件删除事件

确保收集对系统管理范围（sudoers）的更改

监视sudo日志文件

确保收集内核模块加载和卸载

确保审核配置是不可变的

改

继续阅读

一分钟修改好Linux中root密码Linux修改root密码

hualinux1.20 基础：sendEmail安装及邮件发送

Docker - Dockerfile之ADD、COPY、WORKDIR、USER、EXPOSE指令详解

Centos7 下 Hadoop 2.6.4 分布式集群环境搭建摘要集群准备安装JDK 安装 Hadoop 2.6.4 部署 slaver1-slaver4 启动 hadoop 集群成功了

supervisor 管理redis 和httpd 环境centos7

Centos7 MySQL 5.7 安装MySQL 5.7 安装

Centos 7 Apache配置虚拟主机

在Centos中将apache httpd 服务加入系统服务

CentOS 6.5 部署 Apache 服务器(httpd)

【CentOS】httpd模块 Job for httpd.service failed because the control process exited with error c项目场景：问题描述：原因分析：解决步骤：

服务器配置——Apache

centOS7 配置 vsftpd 虚拟用户及权限Vsftpd配置虚拟用户及权限

linux-svn卸载与安装

vsftp虚拟多用户多权限一键部署脚本

Shell编程——sort排序、uniq忽略重复、tr替换压缩删除、cut指定删除字段、正则表达式元字符sort 命令uniq 命令tr 命令cut 命令正则表达式

配置网页内容访问

CentOS7的审计配置

配置文件：

配置开机启动

配置规则 （man auditctl）

1. 控制规则：

2. 文件系统规则

3. 系统调用规则

配置实例

记录系统的日期和时间的修改

记录用户和组的修改的事件

记录网络环境修改时间

记录登录和登出事件

记录会话启动事件

监视对文件权限、属性、所有权和组的更改

记录未授权文件访问尝试

确保收集使用特权命令

收集成功挂载磁盘事件

确保收集用户的文件删除事件

确保收集对系统管理范围（sudoers）的更改

监视sudo日志文件

确保收集内核模块加载和卸载

确保审核配置是不可变的

改

继续阅读

配置规则（man auditctl）