Auditd Linux-handledning

1. Vad gör Auditd i Linux?
2. Vad kan Auditd göra?
3. Vad loggas av Auditd?
4. Hur aktiverar jag granskningsloggar i Linux?
5. Hur använder Ausearch Linux?
6. Vad är Audispd i Linux?
7. Hur vet jag om granskning körs?
8. Vad är revisionsdemonen?
9. Vad är en revisionsregel?
10. Vad är AUID i Linux?
11. Hur aktiverar jag granskning?
12. Hur hittar jag granskningsfiler i Linux?

Vad gör Auditd i Linux?

auditd är userpace-komponenten till Linux Auditing System. Det är ansvarigt för att skriva granskningsposter till disken. Visa loggarna görs med hjälp av ausearch eller aureport-verktygen. Konfigurering av granskningssystemet eller laddningsregler görs med verktyget auditctl.

Vad kan Auditd göra?

Med hjälp av dessa kategorier av händelser kan du granska aktiviteter som autentisering, misslyckade kryptografiska operationer, onormala avslutningar, programkörning och SELinux-modifieringar. När granskningsregler utlöses matar Linux Audit System ut en post med en mängd olika fält.

Vad loggas av Auditd?

Linux Audit-demon (auditd) är applikationen för att utnyttja Linux Audit-ramverket, som finns som dess användarutrymme: auditd kan prenumerera på händelser från kärnan baserat på användardefinierade regler.

Hur aktiverar jag granskningsloggar i Linux?

Lösning

1. Logga in på Linux-rutan och anta root. ...
2. Redigera / etc / profil och lägg till följande rader längst ner i filen: ...
3. Spara och avsluta / etc / profil.
4. Redigera / etc / rsyslog.conf och lägg till följande rader längst ner i filen: ...
5. Spara och avsluta / etc / rsyslog.konf.

Hur använder Ausearch Linux?

Ausearch-verktyget kan också ta inmatning från stdin så länge ingången är rå loggdata. Varje kommandoradsalternativ som ges bildar ett "och" uttalande. Till exempel betyder sökning med -m och -ui returhändelser som har både den begärda typen och matchar det angivna användar-id: t.

Vad är Audispd i Linux?

audispd är en multiplexor för granskningshändelser. ... Det tar revisionshändelser och distribueras till barnprogram som vill analysera händelser i realtid. När granskningsdemonen tar emot en SIGTERM eller SIGHUP skickar den också signalen till avsändaren. Sändaren skickar i sin tur dessa signaler till sina underordnade processer.

Hur vet jag om granskning körs?

Om du inte har ovanstående paket installerade kör du det här kommandot som rootanvändare för att installera dem. Kontrollera sedan om auditd är aktiverat och kör, ge systemctl-kommandona nedan på terminalen. Nu ser vi hur man konfigurerar auditd med hjälp av huvudkonfigurationsfilen / etc / audit / auditd. konf.

Vad är revisionsdemonen?

Audit-demon är en tjänst som loggar händelser i ett Linux-system. ... Revisionsramverket som beskrivs i den här artikeln är en del av Linux-kärnan och kan därför styra åtkomst till en dator ända ner till systemanropsnivån. Audit-demon kan övervaka all åtkomst till filer, nätverksportar eller andra händelser.

Vad är en revisionsregel?

Kontrollregler - gör det möjligt att ändra granskningssystemets beteende och en del av dess konfiguration. ... Filsystemregler - även kända som filklockor, möjliggör granskning av åtkomst till en viss fil eller en katalog. Systemanropsregler - tillåt loggning av systemanrop som görs av något specifikt program.

Vad är AUID i Linux?

Hjälpfältet registrerar användar-ID för granskning, det vill säga loginuid. Detta ID tilldelas en användare vid inloggning och ärvs av varje process även när användarens identitet ändras (till exempel genom att byta användarkonton med kommandot su - john).

Hur aktiverar jag revision?

Du bör se en post taggad med nyckeln konfigurerad i reglerposten (Figur C). Figur C: Auditd har lyckats fånga vår förändring i värdfilen. Och det är allt som finns för att aktivera Auditd och lägga till en ny regel i systemet.

Hur hittar jag granskningsfiler i Linux?

Linux granskningsfiler för att se vem som gjorde ändringar i en fil

1. För att kunna använda granskningsfaciliteten måste du använda följande verktyg. ...
2. => ausearch - ett kommando som kan fråga om loggböckerna för revisionsdemon baserat på händelser baserat på olika sökkriterier.
3. => aureport - ett verktyg som producerar sammanfattande rapporter om granskningssystemets loggar.