40 了解 Linux 审计 #

审计守护程序负责将通过审计内核接口生成并由应用程序和系统活动触发的审计消息写入磁盘。审计守护程序的启动方式由 systemd 控制。审计系统功能（启动后）由 /etc/audit/auditd.conf 控制。有关 auditd 及其配置的详细信息，请参见第 40.2 节 “配置审计守护程序”。

auditctl 实用程序可控制审计系统。它可控制审计接口的日志生成参数和内核设置，以及用于确定要跟踪哪些事件的规则集。有关 auditctl 的详细信息，请参见第 40.3 节 “使用 auditctl 控制审计系统”。

/etc/audit/audit.rules 文件包含一系列 auditctl 命令，在系统引导时，启动审计守护程序后会紧接着装载这些命令。有关审计规则的详细信息，请参见第 40.4 节 “将参数传递到审计系统”。

aureport 实用程序可让您基于审计事件日志创建自定义报告。您可以轻松编写生成报告的脚本，而各种其他应用程序可以使用脚本的输出来绘制这些结果的图表以及执行其他操作。有关 aureport 的详细信息，请参见第 40.5 节 “了解审计日志和生成报告”。

ausearch 实用程序可以使用所记录的格式的各种键或其他特征在审计日志文件中搜索特定的事件。有关 ausearch 的详细信息，请参见第 40.6 节 “使用 ausearch 查询审计守护程序日志”。

审计调度程序守护程序 (audispd) 可用于将事件通知中继到其他应用程序，而不是将其写入磁盘上的审计日志中（或除了执行此操作之外）。有关 audispd 的详细信息，请参见第 40.9 节 “中继审计事件通知”。

autrace 实用程序以类似于 strace 的方式跟踪单个进程。autrace 的输出将记录到审计日志。有关 autrace 的详细信息，请参见第 40.7 节 “使用 autrace 分析进程”。

列显最后几个登录用户的列表，类似于 last。aulast 在整个审计日志（或给定的审计日志文件）中向后搜索，并基于审计日志中的时间范围显示所有登录和注销用户的列表。

以类似于 lastlog 的方式列显所有计算机用户的上次登录信息。将列显登录名、端口和上次登录时间。

log_file 指定审计日志应储存到什么位置。log_format 确定审计信息写入磁盘的方式，log_group 定义拥有日志文件的组。log_format 的可能的值为 raw（完全按照内核发送消息时的格式储存消息）或 nolog（丢弃消息，不将其写入磁盘）。如果您使用 nolog 模式，发送到审计调度程序的数据将不受影响。默认设置为 raw。如果您希望能够使用 aureport 和 ausearch 工具创建报告以及对审计日志进行查询，应保留该设置。可采用文本描述或使用组 ID 来指定 log_group 的值。

注意：CAPP 环境

在 CAPP 环境中，需让审计日志驻留在其自身的分区中。这样，您便可以确保审计守护程序的空间检测结果准确，并且可以避免其他进程消耗此空间。

确定审计守护程序应获得的优先级提升量。可能的值为 0 到 20。最终合理的值按如下方式计算：0 - priority_boost

指定是否、如何以及以什么频率将审计日志写入磁盘。flush 的有效值为 none、incremental、data 和 sync。none 告知审计守护程序将审计数据写入磁盘时无需进行特殊的操作。incremental 告知审计守护程序显式将数据刷写到磁盘。如果使用 incremental，则必须指定频率。freq 值 20 告知审计守护程序请求内核在每生成 20 条记录后将数据刷写到磁盘。data 选项始终将磁盘文件的数据部分保持同步，而 sync 选项会同时处理元数据和数据。

注意：CAPP 环境

在 CAPP 环境中，请确保审计追踪始终是完全最新且完整的。因此，请将 flush 参数与 sync 或 data 结合使用。

指定当提供 rotate 作为 max_log_file_action 时要保留的日志文件数。可能的值为 0 到 99。小于 2 的值表示不轮换日志文件。如果增加要轮换的文件数，会增大审计守护程序所需的工作量。执行这种轮换时，auditd 无法始终快速地处理来自内核的新数据，这可能造成积压状况（触发 auditd 根据故障标志做出反应，如第 40.3 节 “使用 auditctl 控制审计系统”中所述）。在这种情况下，建议提高积压上限。为此，可以更改 /etc/audit/audit.rules 文件中 -b 参数的值。

审计守护程序在启动期间会启动调度程序。审计守护程序会将审计消息中继到 dispatcher 中指定的应用程序。此应用程序必须高度受信任，因为它需要以 root 身份运行。disp_qos 会确定是否允许在审计守护程序与调度程序之间进行 lossy（有损）或 lossless（无损）通讯。

如果您选择 lossy，当消息队列已满时，审计守护程序可能会丢弃一些审计消息。如果将 log_format 设为 raw，这些事件仍会写入磁盘，但可能不会传递到调度程序。如果您选择 lossless，将阻止审计记录到磁盘，直到消息队列中出现空位。默认值为 lossy。

name_format 控制如何解析计算机名称。可能的值为 none（不使用名称）、hostname（gethostname 返回的值）、fqd（通过 DNS 查找接收的完全限定主机名）、numeric（IP 地址）和 user。user 是一个自定义字符串，需要使用 name 参数来定义。

max_log_file 接受数字值，该值指定在触发可配置的操作之前，日志文件可以达到的最大文件大小（以兆字节为单位）。要执行的操作在 max_log_file_action 中指定。max_log_file_action 的可能的值为 ignore、syslog、suspend、rotate 和 keep_logs。ignore 告知审计守护程序在达到大小限制时不要执行任何操作，syslog 告知审计守护程序发出警告并将警告发送到系统日志，suspend 导致审计守护程序停止向磁盘写入日志，并使守护程序本身仍保持活动状态。rotate 使用 num_logs 设置触发日志轮换。keep_logs 也会触发日志轮换，但不使用 num_log 设置，因此始终保留所有日志。

注意：CAPP 环境

要在 CAPP 环境中保留完整的审计追踪，应使用 keep_logs 选项。如果使用单独的分区来保存审计日志，请调整 max_log_file 和 num_logs 以使用该分区上的全部可用空间。请注意，要轮换的文件越多，重新接收审计事件所需的时间就越长。

space_left 接受表示剩余磁盘空间的数字值（以兆字节为单位），用于触发审计守护程序执行的可配置操作。该操作在 space_left_action 中指定。此参数的可能的值为 ignore、syslog、email、exec、suspend、single 和 halt。ignore 告知审计守护程序忽略警告且不执行任何操作，syslog 指示审计守护程序向系统日志发送警告，email 向 action_mail_acct 下指定的帐户发送电子邮件。指定 exec 加上脚本路径会执行给定的脚本。请注意，您无法向脚本传递参数。suspend 告知审计守护程序停止写入磁盘但保持活动状态，而 single 会触发系统降级到单用户模式。halt 触发系统完全关闭。

注意：CAPP 环境

请确保将 space_left 设置为一个适当的值，使管理员有足够的时间对警报做出反应，并允许释放足够的磁盘空间以使审计守护程序能够继续工作。释放磁盘空间涉及到调用 aureport -t，并在单独的存档分区或资源上存档最旧的日志。space_left 的实际值取决于您的部署大小。将 space_left_action 设置为 email。

指定应将任何警报消息发送到的电子邮件地址或别名。默认设置为 root，但只要在系统上正确配置了电子邮件和网络，并且 /usr/lib/sendmail 存在，您就可以输入任何本地或远程帐户。

admin_space_left 接受表示剩余磁盘空间的数字值（以兆字节为单位）。达到此限制意味着系统已出现磁盘空间不足的情况，管理员需抓住这个最后的机会对此警报做出反应，释放磁盘空间来保存审计日志。admin_space_left 的值应小于 space_left 的值。admin_space_left_action 的可能的值与 space_left_action 的相同。

注意：CAPP 环境

请将 admin_space_left 设置为允许记录管理员操作的值。操作应设置为 single。

指定当系统耗尽了用于保存审计日志的磁盘空间时需要执行的操作。有效值为 ignore、syslog、rotate、exec、suspend、single 和 halt。有关这些值的说明，请参见space_left 和 space_left_action 。

注意：CAPP 环境

由于当实在没有更多空间来保存任何审计日志时会触发 disk_full_action，您应该将系统降级到单用户模式 (single) 或将其彻底关闭 (halt)。

指定当审计守护程序在将日志写入磁盘或轮换日志期间遇到任何类型的磁盘错误时需要执行的操作。可能的值与 space_left_action 的相同。

注意：CAPP 环境

根据有关处理任何类型的硬件故障的站点策略，使用 syslog、single 或 halt。

该审计守护程序可以接收来自其他审计守护程序的审计事件。TCP 参数可让您控制传入连接。使用 tcp_listen_port 指定一个介于 1 到 65535 之间的端口，auditd 将监听该端口。tcp_listen_queue 可让您配置等待中连接数的最大值。确保不要将值设置得太小，因为在某些情况下（例如在断电后），等待中的连接数可能会很高。tcp_client_ports 定义允许哪些客户端端口。请指定单个端口，或以短划线分隔的数字指定端口范围（例如，1-1023 表示所有特权端口）。

指定单个允许的客户端端口可能导致客户端难以重启动其审计子系统，因为在连接关闭 TIME_WAIT 状态超时之前，客户端无法与同一主机地址和端口重新创建连接。如果客户端不再响应，auditd 将会控诉。请使用 tcp_client_max_idle 指定经过多少秒后将发生这种行为。请记住，此设置对所有客户端都有效，因此应高于任意单个客户端检测信号设置，最好是高两倍。tcp_max_per_addr 是表示允许从一个 IP 地址发出多少并发连接的数字值。

提示

我们建议为客户端和服务器使用特权端口，以防止非 root (CAP_NET_BIND_SERVICE) 程序绑定到这些端口。

将审计日志移到另一台计算机后，或者当您想要在本地计算机上分析多台计算机的日志，而又不想逐个连接其中每台计算机时，请将日志移到某个本地文件，然后在本地使用 ausearch 搜索这些日志：

tux > sudo ausearch - option -if myfile

某些信息（例如用户 ID）将以数字形式列显。要将这些信息转换为直观易懂的文本格式，请在 ausearch 命令中添加 -i 选项。

如果您先前运行了审计报告或执行了 autrace，则应分析日志中特定事件的追踪。第 40.5 节 “了解审计日志和生成报告”中所述的大多数报告类型都会在其输出中包含审计事件 ID。审计事件 ID 是审计消息 ID 的第二部分，后者由 Unix 纪元时戳和审计事件 ID 构成（以冒号分隔）。所记录的来自一个应用程序系统调用的所有事件都具有相同的事件 ID。在 ausearch 中使用此事件 ID 可以从日志中检索此事件的追踪。

使用如下所示的命令：

tux > sudo ausearch -a 5207
----
time->Tue Feb 17 13:43:58 2009
type=PATH msg=audit(1234874638.599:5207): item=0 name="/var/log/audit/audit.log" inode=1219041 dev=08:06 mode=0100644 ouid=0 ogid=0 rdev=00:00
type=CWD msg=audit(1234874638.599:5207):  cwd="/root"
type=SYSCALL msg=audit(1234874638.599:5207): arch=c000003e syscall=2 success=yes exit=4 a0=62fb60 a1=0 a2=31 a3=0 items=1 ppid=25400 pid=25616 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 ses=1164 comm="less" exe="/usr/bin/less" key="doc_log"

ausearch -a 命令会抓取并显示日志中与所提供审计事件 ID 相关的所有记录。此选项可与任何其他选项结合使用。

要搜索特定消息类型的审计记录，请使用 ausearch -m MESSAGE_TYPE 命令。有效消息类型的示例包括 PATH、SYSCALL 和 USER_LOGIN。运行不带消息类型的 ausearch -m 会显示所有消息类型的列表。

要查看与特定登录用户 ID 关联的记录，请使用 ausearch -ul 命令。此命令显示与指定的用户登录 ID 相关的所有记录，前提是该用户过去能够成功登录。

使用 ausearch -ua 查看与任何用户 ID（用户 ID 和有效用户 ID）相关的记录。使用 ausearch -ui UID 查看与特定用户 ID 相关的报告。要搜索与特定有效用户 ID 相关的记录，请使用 ausearch -ue EUID。搜索用户 ID 是指搜索创建进程的用户的 ID。搜索有效用户 ID 是指搜索该用户 ID 以及运行此进程所需的特权。

使用 ausearch -ga 命令查看与任何组 ID（组 ID 和有效组 ID）相关的记录。使用 ausearch -gi GID 查看与特定用户 ID 相关的报告。要搜索与特定有效组 ID 相关的记录，请使用 ausearch -ge EGID。

使用 ausearch -c COMM_NAME 命令查看与特定命令相关的记录，例如，使用 ausearch -c less 可查看与 less 命令相关的所有记录。

使用 ausearch -x EXE 命令查看与特定可执行文件相关的记录，例如，使用 ausearch -x /usr/bin/less 可查看与 /usr/bin/less 可执行文件相关的所有记录。

使用 ausearch -sc SYSCALL 命令查看与特定系统调用相关的记录，例如，使用 ausearch -sc open 可查看与 open 系统调用相关的所有记录。

使用 ausearch -p PID 命令查看与特定进程 ID 相关的记录，例如，使用 ausearch -p 13368 可查看与此进程 ID 相关的所有记录。

使用 ausearch -sv SUCCESS_VALUE 查看包含特定系统调用成功值的记录，例如，使用 ausearch -sv yes 可查看所有成功的系统调用。

使用 ausearch -f FILE_NAME 查看包含特定文件名的记录，例如，使用 ausearch -f /foo/bar 可查看与 /foo/bar 文件相关的所有记录。您也可以仅使用文件名，但不能使用相对路径。

使用 ausearch -tm TERM 查看仅与特定终端相关的记录，例如，使用 ausearch -tm ssh 可查看与 SSH 终端上的事件相关的所有记录，使用 ausearch -tm tty 可查看与该控制台相关的所有事件。

使用 ausearch -hn HOSTNAME 查看与特定远程主机名相关的记录，例如，使用 ausearch -hn jupiter.example.com 可查看与该主机名相关的所有记录。可以使用主机名、完全限定的域名或数字格式的网络地址。

查看包含审计规则集中指派的特定键（用于识别特定类型的事件）的记录。相关命令为 ausearch -k KEY_FIELD。例如，使用 ausearch -k CFG_etc 可显示包含 CFG_etc 键的所有记录。

查看包含审计规则集中指派的特定字符串（用于识别特定类型的事件）的记录。整个字符串将与文件名、主机名和终端进行匹配。相关命令为 ausearch -w WORD。

使用 -ts 和 -te 可将搜索范围限制在特定的时间范围。-ts 选项用于指定开始日期和时间，-te 选项用于指定结束日期和时间。这些选项可与上面所述的任何选项结合使用。这些选项的用法与在 aureport 中的用法类似。

指定事件调度程序内部队列的大小。如果系统日志指出审计事件开始被丢弃，请增大此值。默认值为 250。

指定审计守护程序对内部队列溢出的反应方式。可能的值为 ignore（不执行任何操作）、syslog（向系统日志发送警告）、suspend（audispd 将停止处理事件）、single（将计算机系统置于单用户模式）或 halt（关闭系统）。

指定审计事件调度程序的优先级（以及审计守护程序本身的优先级）。默认值为 4，即优先级无变化。

指定在审计事件中插入计算机节点名称的方式。可能的值为 none（不插入计算机名）、hostname（gethostname 系统调用返回的名称）、fqd（计算机的完全限定域名）、numeric（计算机的 IP 地址）或 user（name 选项中用户定义的字符串）。默认值为 none。

指定用于标识计算机的用户定义的字符串。name_format 选项必须设置为 user，否则会忽略此选项。

用于指定审计事件调度程序可以尝试重启动崩溃插件的次数的非负数。默认值为 10。

指定程序是否使用 audispd。可能的值为 yes 或 no。

指定插件预期会采用什么方式与审计通讯。它可向事件调度程序告知事件的流动方向。可能的值为 in 或 out。

指定插件可执行文件的绝对路径。对于内部插件，此选项会指定插件名称。

指定运行插件的方式。可能的值为 builtin 或 always。对内部插件（af_unix 和 syslog）使用 builtin，对大多数（如果不是所有）其他插件使用 always。默认值为 always。

指定传递给插件程序的参数。正常情况下，插件程序将从其配置文件读取其参数，不需要接收任何参数。限制为两个参数。

指定审计调度程序传递给插件程序的数据格式。有效选项为 binary 或 string。binary 以事件调度程序从审计守护程序接收数据时的原有格式传递数据。string 指示调度程序将事件更改为可由审计分析库分析的字符串。默认值为 string。