如何在CentOS 7上编写自定义系统审计规则

介绍

Linux审计系统创建审计跟踪,这是一种跟踪系统上各种信息的方法。它可以记录大量数据,如事件类型,日期和时间,用户ID,系统调用,进程,使用的文件,SELinux上下文和敏感度级别。它可以跟踪文件是否已被访问,编辑或执行。它甚至可以跟踪文件属性的更改。它能够记录系统调用的使用情况,用户执行的命令,登录尝试失败以及许多其他事件。默认情况下,审计系统仅记录日志中的少数事件,例如登录的用户,使用sudo的用户以及与SELinux相关的消息。它使用审计规则来监视特定事件并创建相关的日志条目。可以创建审计规则。

在本教程中,我们将讨论不同类型的审核规则以及如何在服务器上添加或删除自定义规则。

准备

在开始学习本教程之前,您应该具备以下条件:

  • CentOS 7 腾讯云CVM(与CentOS 6配合使用)
  • 具有sudo权限的非root用户。所有命令都将以此用户身份运行。
  • 对Linux审计系统的基本了解。

没有服务器的同学可以在这里购买,不过我个人更推荐您使用免费的腾讯云开发者实验室进行试验,学会安装后再购买服务器

查看审核规则

您可以使用auditctl -l命令查看当前的审核规则集。

sudo auditctl -l

如果不存在则不显示任何规则(这是默认值):

No rules

在本教程中添加规则时,可以使用此命令验证是否已添加规则。

可以使用以下方式查看审计系统的当前状态:

sudo auditctl -s

输出将类似于:

AUDIT_STATUS: enabled=1 flag=1 pid=9736 rate_limit=0 backlog_limit=320 lost=0 backlog=0

enabled=1值显示在此服务器上启用了审核。pid值是审计守护程序的进程号。pid为0表示审计守护程序未运行。lost条目将告诉您由于内核审计队列溢出而丢弃了多少事件记录。backlog字段显示当前有多少事件记录排队等待auditd读取它们。我们将在本教程的下一部分讨论其余的输出字段。

添加审计规则

您可以使用命令行工具auditctl添加自定义审核规则。默认情况下,规则将添加到当前列表的底部,但也可以插入顶部。要使规则永久化,您需要将它们添加到文件/etc/audit/rules.d/audit.rules中。每当auditd服务启动时,它都会激活文件中的所有规则。审核规则在第一个匹配胜利的基础上工作 - 当规则匹配时,它不会进一步评估规则。正确的规则排序很重要。

如果您使用的是CentOS 6,则会找到审核规则文件/etc/audit/audit.rules

审计规则有三种类型:

  • 控制规则:这些规则用于更改审计系统本身的配置和设置。
  • 文件系统规则:这些是文件或目录监视。使用这些规则,我们可以审核对特定文件或目录的任何类型的访问。
  • 系统调用规则:这些规则用于监视由任何进程或特定用户进行的系统调用。

控制规则

让我们看看我们可以添加的一些控制规则:

  • auditctl -b <backlog> - 设置允许的最大未完成审核缓冲区数。如果所有缓冲区都已满,则内核会查询失败标志以进行操作。CentOS服务器上设置的默认积压限制为320.您可以使用以下命令查看:
sudo auditctl -s

在输出中,您可以看到当前的backlog_limit值:

AUDIT_STATUS: enabled=1 flag=1 pid=9736 rate_limit=0 backlog_limit=320 lost=0 backlog=0

如果您的积压值大于当前设置的backlog_limit,则可能需要增加backlog_limit以使审核日志记录正常运行。例如,要将值增加到1024,请运行:

sudo auditctl -b 1024

输出将显示状态:

AUDIT_STATUS: enabled=1 flag=1 pid=9736 rate_limit=0 backlog_limit=1024 lost=0 backlog=0
  • auditctl -f [0 1 2] - 设置失败标志(0 =无声,1 =打印.2 =恐慌)。此选项可让您确定内核如何处理严重错误。如果设置为0,将以静默方式丢弃无法记录的审核消息。如果设置为1,则将消息发送到内核日志子系统。如果设置为2,则会触发内核崩溃。查询此标志的示例条件包括超出积压限制,超出内核内存和超出速率限制。默认值为1.除非服务器上的审计守护程序有任何重大问题,否则无需更改此值。
  • auditctl -R <filename> - 从指定的文件中读取审核规则。当您测试一些临时规则并希望再次从audit.rules文件中使用旧规则时,这非常有用。

我们通过auditctl添加的规则不是永久性的。要使它们在重新启动后保持不变,您可以将它们添加到文件/etc/audit/rules.d/audit.rules中。此文件使用相同的auditctl命令行语法来指定规则,但前面没有auditctl命令本身。将忽略散列符号(#)后面的任何空行或任何文本。默认规则文件如下所示:

# This file contains the auditctl rules that are loaded
# whenever the audit daemon is started via the initscripts.
# The rules are simply the parameters that would be passed
# to auditctl.
​
# First rule - delete all
-D
​
# Increase the buffers to survive stress events.
# Make this bigger for busy systems
-b 320
​
# Feel free to add below this line. See auditctl man page

要将积压值更改为8192,您可以将-b 320更改为-b 8192并使用以下命令重新启动审计守护程序:

sudo service auditd restart

如果不重新启动守护程序,它仍将在下次服务器重新引导时从配置中设置新值。

文件系统规则

可以在文件和目录上设置文件系统监视。我们还可以指定要监视的访问类型。文件系统规则的语法是:

auditctl -w path_to_file -p permissions -k key_name

path_to_file是被审计的文件或目录。permissions是记录的权限。该值可以是r(读取),w(写入),x(执行)和 a(属性更改)中的一个或组合。key_name是一个可选字符串,可帮助您识别生成特定日志条目的规则。

我们来看一些例子。

sudo auditctl -w /etc/hosts -p wa -k hosts_file_change

上述规则要求审计系统监视对文件/etc/hosts的任何写访问或属性更改,并使用我们指定的自定义键字符串hosts_file_change将它们记录到审计日志中。

如果您希望将此规则设为永久性,请将其添加到底部的文件/etc/audit/rules.d/audit.rules中,如下所示:

-w /etc/hosts -p wa -k hosts_file_change

要确保成功添加规则,您可以运行:

sudo auditctl -l

如果一切顺利,输出应显示:

LIST_RULES: exit,always watch=/etc/hosts perm=wa key=hosts_file_change

我们还可以将手表添加到目录中。

sudo auditctl -w /etc/sysconfig/ -p rwa -k configaccess

上述规则将向目录/etc/sysconfig及其下的所有文件和目录添加监视,以进行任何读取,写入或属性更改访问。它还将使用自定义密钥configaccess标记日志消息。

添加规则以监视/sbin/modprobe命令的执行(此命令可以从服务器添加/删除内核模块):

sudo auditctl -w /sbin/modprobe -p x -k kernel_modules

注意:您无法将监视表插入顶级目录。这是内核禁止的。也不支持通配符,并会生成警告。

要在审核日志中搜索特定事件,可以使用命令ausearch。例如,要在审核日志中搜索标有configaccess键的所有事件,您可以运行:

sudo ausearch -k configaccess

系统调用规则

通过审核系统调用,您可以远远超出应用程序级别跟踪服务器上的活动。系统调用规则的语法是:

auditctl -a action,filter -S system_call -F field=value -k key_name`

哪里:

  • 在上述命令中将-a替换为-A将在顶部而不是在底部插入该规则。
  • actionfilter指定何时记录某个事件。action可以是alwaysneverfilter指定将哪个内核规则匹配过滤器应用于事件。规则的匹配滤波器可以是下列之一:taskexituser,和excludeaction,filter在大多数情况下将是always,exit,它会告诉auditctl你想退出时审核本系统调用。
  • system_call按名称指定系统调用。可以将多个系统调用分组为一个规则,每个规则在-S选项后指定。也可以使用all这个词。您可以使用该sudo ausyscall --dump命令查看所有系统调用的列表及其编号。
  • field=value 指定其他选项,这些选项可根据指定的体系结构,用户ID,进程ID,路径等修改规则以匹配事件。
  • key_name 是一个可选字符串,可帮助您稍后识别生成特定日志条目的规则或一组规则。

现在让我们看一些示例系统调用规则。

要定义一个审计规则,该规则创建一个标记的日志条目rename,每次ID为1000或更大的用户重命名文件时,请运行:

sudo auditctl -a always,exit -F arch=b64 -F "auid>=1000" -S rename -S renameat -k rename

-F arch=b64说审计的规则系统调用的64位版本。

要定义记录特定用户(使用UID 1001)访问的文件的规则,并使用userfileaccess标记日志条目:

sudo auditctl -a always,exit -F arch=b64 -F auid=1001 -S open -k userfileaccess

如果您希望将此规则设为永久性,请将其添加到底部的文件/etc/audit/rules.d/audit.rules中,如下所示:

-a always,exit -F arch=b64 -F auid=1001 -S open -k userfileaccess

您还可以使用系统调用规则语法定义文件系统规则。例如,以下规则:

sudo auditctl -a always,exit -F path=/etc/hosts -F perm=wa -k hosts_file_change

与我们在前面部分中看到的文件系统规则完成相同的工作:

sudo auditctl -w /etc/hosts -p wa -k hosts_file_change

要使用系统调用规则递归查看目录,可以使用-F "dir=/path/to/dir"选项。

注:请注意,所有进程早于审计守护程序本身将有4294967295auid。要从规则中排除这些规则,您可以添加-F "auid!=4294967295"到规则。要避免此问题,可以添加audit=1到内核引导参数。这使得内核审计系统即使在审计守护程序启动之前也可以启动,并且所有进程都具有正确的登录uid。

删除审核规则

要删除所有当前审核规则,可以使用auditctl -D命令。要用-w选项删除使用添加的文件系统监视规则,您可以在原规则中替换-w-W。使用选项添加系统调用规则-a或者-A可以使用-d原始规则的选项删除系统调用规则。例如,假设我们添加了以下规则:

sudo auditctl -w /etc/passwd -p wa -k passwdaccess

使用以下方法查看规则集:

sudo auditctl -l

输出应包括:

LIST_RULES: exit,always watch=/etc/passwd perm=wa key=passwdaccess

要删除此规则,我们可以使用以下命令,只需替换-w-W

sudo auditctl -W /etc/passwd -p wa -k passwdaccess

现在,使用以下方法查看规则集:

sudo auditctl -l

该规则现在不应该在列表中。

注意:如果audit.rules文件中添加了永久性审计规则,则审计守护程序重新启动或系统重新引导将从文件中加载所有规则。要永久删除审核规则,您需要从文件中删除它们。

锁定审计规则

可以使用auditctl -e [0 1 2]禁用或启用审计系统并使用锁定审计规则。例如,要暂时禁用审核,请运行:

auditctl -e 0

1作为参数传递时,它将启用审计。要锁定审计配置以使其无法更改,请将2作为参数传递。这使得当前的审计规则集不可变。无法再添加,删除或编辑规则,也无法再停止审计守护程序。对于希望此功能处于活动状态的任何人来说,锁定配置是audit.rules中的最后一个命令。将审核并拒绝任何在此模式下更改配置的尝试。只能通过重新引导服务器来更改配置。

结论

Linux审核系统提供的信息对于入侵检测非常有用。您现在应该能够添加自定义审核规则,以便您可以记录特定事件。

请记住,在添加自定义日志记录规则时,您始终可以参考auditctl手册页。它提供了命令行选项,性能提示和示例的完整列表。/usr/share/doc/audit-<version>/目录包含具有基于某些通用认证标准的预配置审核规则的文件。

想要了解更多关于编写自定义系统审计规则的相关教程,请前往腾讯云+社区学习更多知识。


参考文献:《How To Write Custom System Audit Rules on CentOS 7》

原创声明,本文系作者授权云+社区发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

编辑于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏谈补锅

http协议笔记

1、连接(Connection):浏览器和服务器之间传输数据的通道。一般请求完毕就关闭,http不保持连接,不保持连接会降低处理速度(因为建立连接速度很慢),保...

1724
来自专栏云计算教程系列

如何在CentOS 7上使用Etckeeper进行版本控制管理/ etc

在Linux生态系统中,必须定期安装,维护和升级软件。但是,仍然需要跟踪对本地配置文件所做的更改。与在进行更改之前制作配置文件副本的旧备用数据库相反,etcke...

1531
来自专栏电光石火

python3和python2共存

特别说明,本文是在Windows64位系统下进行的,32位系统请下载相应版本的安装包,安装方法类似。 使用python开发,环境有Python2和 py...

2188
来自专栏Pythonista

Linux之文档与目录结构

Linux目录结构的组织形式和Windows有很大的不同。首先Linux没有“盘(C盘、D盘、E盘)”的概念。已经建立文件系统的硬盘分区被挂载到某一个目录下,用...

1493
来自专栏進无尽的文章

代码管理| 本地Git仓库和远程仓库的创建及关联

顺便说一下:Github账号创建私人项目的话需要付费,可以在码云上面创建个人私有仓库,是免费的。

1.7K2
来自专栏章鱼的慢慢技术路

Linux中的环境变量PATH

2372
来自专栏快乐八哥

前后端分离下如何登录

目前大多数Web应用采用前后端分离方式进行开发。所以前端网站或应用都属于SPA(Single Page Application)。如果前端,后台API部署在同域...

1.5K2
来自专栏Python中文社区

Linux进程监控工具Supervisor简易使用教程

專 欄 ❈ gw1770df,Python中文社区专栏作者,从事Python开发工作,全栈工程师。 博客: https://word.gw1770df.cc ...

3686
来自专栏云计算教程系列

如何在Ubuntu 16.04上设置Node.js生产应用程序

Node.js是一个开源JavaScript运行时环境,用于轻松构建服务器端和网络应用程序。该平台可在Linux,OS X,FreeBSD和Windows上运行...

510
来自专栏技术之路

[个人翻译]Redis 集群教程(上)

   官方原文地址:https://redis.io/topics/cluster-tutorial    水平有限,如果您在阅读过程中发现有翻译的不合理的地...

2519

扫码关注云+社区

领取腾讯云代金券