Аудит в НАЙС ОС

Аудит в НАЙС ОС — это процесс отслеживания и регистрации событий в системе для анализа безопасности и соблюдения требований. В этом руководстве рассматриваются основные аспекты настройки и использования системы аудита, включая установку, конфигурацию и анализ логов.

Установка и настройка системы аудита

В НАЙС ОС для аудита используется утилита auditd, которая обеспечивает сбор и хранение информации о событиях безопасности.

Установка auditd


# Установка пакета auditd
sudo dnf install -y audit

# Запуск и включение auditd
sudo systemctl start auditd
sudo systemctl enable auditd

Проверка статуса auditd


# Проверка статуса службы auditd
sudo systemctl status auditd

Конфигурация auditd

Основной конфигурационный файл auditd находится по пути /etc/audit/auditd.conf. Этот файл содержит параметры, определяющие поведение службы аудита.

Пример конфигурации auditd.conf


# Открытие файла конфигурации auditd
sudo nano /etc/audit/auditd.conf

# Пример содержимого файла:
log_file = /var/log/audit/audit.log
log_format = RAW
flush = INCREMENTAL
freq = 50
num_logs = 5
max_log_file = 8
max_log_file_action = ROTATE
space_left = 75
space_left_action = SYSLOG
admin_space_left = 50
admin_space_left_action = SUSPEND
disk_full_action = SUSPEND
disk_error_action = SUSPEND

Настройка правил аудита

Правила аудита определяются в файле /etc/audit/audit.rules. Эти правила указывают, какие события должны быть отслежены и зарегистрированы.

Пример правил аудита


# Открытие файла правил аудита
sudo nano /etc/audit/audit.rules

# Пример содержимого файла:
# Логирование всех вызовов системных вызовов execve
-a always,exit -F arch=b64 -S execve -k exec_logging

# Логирование изменений конфигурации сети
-w /etc/sysconfig/network-scripts -p wa -k network_changes

# Логирование доступа к важным файлам
-w /etc/passwd -p wa -k passwd_changes
-w /etc/shadow -p wa -k shadow_changes

Перезагрузка auditd для применения изменений

После внесения изменений в конфигурационные файлы необходимо перезагрузить службу auditd.


# Перезагрузка службы auditd
sudo systemctl restart auditd

Анализ логов аудита

Логи аудита хранятся в файле /var/log/audit/audit.log. Для анализа логов можно использовать утилиту ausearch и aureport.

Использование ausearch

Утилита ausearch позволяет выполнять поиск по логам аудита на основе различных критериев.


# Поиск событий по ключу
sudo ausearch -k exec_logging

# Поиск событий по пользователю
sudo ausearch -ua username

# Поиск событий по времени
sudo ausearch -ts today

Использование aureport

Утилита aureport генерирует отчеты на основе логов аудита.


# Генерация ежедневного отчета
sudo aureport -t -i

# Отчет по событиям входа в систему
sudo aureport -l -i

# Отчет по изменениям файлов
sudo aureport -f -i

Мониторинг системы аудита

Регулярный мониторинг системы аудита помогает своевременно обнаружить и реагировать на подозрительные события.

Использование auditctl

Утилита auditctl позволяет управлять правилами аудита в реальном времени.


# Добавление нового правила аудита
sudo auditctl -a always,exit -F arch=b64 -S execve -k exec_logging

# Удаление правила аудита
sudo auditctl -d always,exit -F arch=b64 -S execve -k exec_logging

# Просмотр активных правил аудита
sudo auditctl -l

Настройка отправки уведомлений

Для получения уведомлений о важных событиях можно настроить отправку сообщений в системный журнал или по электронной почте.

Пример настройки уведомлений


# Открытие файла конфигурации auditd
sudo nano /etc/audit/auditd.conf

# Пример содержимого файла:
space_left_action = EMAIL
action_mail_acct = root
admin_space_left_action = EMAIL

Эти рекомендации и примеры помогут вам эффективно настроить и использовать систему аудита в НАЙС ОС, обеспечивая высокий уровень безопасности и контроля над событиями в вашей системе.

Экспорт в PDF