linux系统安全审计简单设置

应用安全-安全审计日志目录  /var/log/audit/audit.log

[root@localhost audit]# cd /etc/audit/
[root@localhost audit]# ls
auditd.conf audit.rules rules.d

添加审计规则

auditctl -w /etc/passwd -p wa

监视/etc/passwd文件被写、修改文件属性的操作，并记录 

auditctl -w /etc/sudoers -p wa

监视/etc/sudoers文件被写、修改文件属性的操作，并记录

auditctl -w /var/lib/mysql -p wa

监视/var/lib/mysql 文件被写、修改文件属性的操作，并记录

auditctl -w /var/log/secure -p wa

监视/var/log/secur 文件被写、修改文件属性的操作，并记录

  

-w 监控文件路径
-p 监控文件筛选 r(读) w(写) x(执行) a(属性改变)

 

审计audit总结

#查看审计规则

#auditctl -l

#添加审计规则

#-w path : 指定要监控的路径，上面的命令指定了监控的文件路径 /etc/passwd

#-p : 指定触发审计的文件/目录的访问权限

#-k 给当前这条监控规则起个名字，方便搜索过滤

#rwxa ： 指定的触发条件，r 读取权限，w 写入权限，x 执行权限，a 属性（attr）

#auditctl -w /etc/passwd -p rwxa

 

#查看审计日志

#ausearch -f /etc/passwd

 

#生成简要报告

#aureport

注意：用 auditd 添加审计规则是临时的，立即生效，但是系统重启失效。重启仍然有效，需要在 /etc/audit/audit.rules 文件中添加规则，然后重启服务： 
service auditd restart 或者 service auditd reload