前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >centos 日志审计_CentOS7 – 审计日志[通俗易懂]

centos 日志审计_CentOS7 – 审计日志[通俗易懂]

作者头像
全栈程序员站长
发布2022-08-31 19:10:15
3K0
发布2022-08-31 19:10:15
举报

大家好,又见面了,我是你们的朋友全栈君。

1、auditctl : 即时控制审计守护进程的行为的工具,比如如添加规则等等。

audtitctl -l #查看规则

auditctl -D #清空规则

2、aureport : 查看和生成审计报告的工具。

aureport -l #生成登录审计报告

3、ausearch : 查找审计事件的工具

ausearch -i -p 4096

4、autrace : 一个用于跟踪进程的命令。

autrace -r /usr/sbin/anacron

/etc/audit/audit.rules : 记录审计规则的文件。

/etc/audit/rules.d/ : 规则子目录,可以直接在这里面添加.rules文件生效配置

/etc/audit/auditd.conf : auditd工具的配置文件。

/var/log/audit/audit.log : 默认日志路径

1、监控文件或者目录的更改

auditctl -w /etc/passwd -p rwxa

-w path : 指定要监控的路径,上面的命令指定了监控的文件路径 /etc/passwd

-p : 指定触发审计的文件或者目录的访问权限

rwxa : 指定的触发条件,r 读取权限,w 写入权限,x 执行权限,a 属性(attr)

运行这条命令之后就开始监控了,但是机器重启之后就失效了,因此要永久生效就需要写到规则文件里面。

vim /etc/auditd/rules.d/auditd.rules

将auditctl的命令参数写到这个文件里面即可。

2、查找日志ausearch

-a number #只显示事件ID为指定数字的日志信息,如只显示926事件:ausearch -a 926

-c commond #只显示和指定命令有关的事件,如只显示rm命令产生的事件:auserach -c rm

-i #显示出的信息更清晰,如事件时间、相关用户名都会直接显示出来,而不再是数字形式

-k #显示出和之前auditctl -k所定义的关键词相匹配的事件信息

3、日志字段说明

参数说明:

time :审计时间。

name :审计对象

cwd :当前路径

syscall :相关的系统调用

auid :审计用户ID

uid和 gid :访问文件的用户ID和用户组ID

comm :用户访问文件的命令

exe :上面命令的可执行文件路径

发布者:全栈程序员栈长,转载请注明出处:https://javaforall.cn/142644.html原文链接:https://javaforall.cn

本文参与 腾讯云自媒体同步曝光计划,分享自作者个人站点/博客。
原始发表:2022年5月2,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 作者个人站点/博客 前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档