CentOS 시스템의 감사 로그를 사용하여 시스템에 대한 무단 액세스를 탐지하는 방법-리눅스 운영 및 유지 관리-php.cn

CentOS 시스템의 감사 로그를 사용하여 시스템에 대한 무단 액세스를 탐지하는 방법

WBOY

풀어 주다： 2023-07-05 14:30:14

원래의

2381명이 탐색했습니다.

CentOS 시스템의 감사 로그를 사용하여 시스템에 대한 무단 액세스를 모니터링하는 방법

인터넷이 발전함에 따라 네트워크 보안 문제가 점점 더 중요해지고 있으며 많은 시스템 관리자가 시스템 보안에 점점 더 많은 관심을 기울이고 있습니다. . 일반적으로 사용되는 오픈 소스 운영 체제인 CentOS의 감사 기능은 시스템 관리자가 특히 무단 액세스에 대해 시스템 보안을 모니터링하는 데 도움이 될 수 있습니다. 이 문서에서는 CentOS 시스템의 감사 로그를 사용하여 시스템에 대한 무단 액세스를 모니터링하는 방법을 소개하고 코드 예제를 제공합니다.

1. 감사 로그 기능 켜기
CentOS 시스템의 감사 로그 기능을 사용하려면 먼저 해당 기능이 켜져 있는지 확인해야 합니다. CentOS 시스템에서는 /etc/audit/auditd.conf 파일을 수정하여 감사 로그 기능을 활성화할 수 있습니다. 다음 명령을 사용하여 파일을 열 수 있습니다. /etc/audit/auditd.conf文件来开启审计日志功能。可以使用以下命令打开该文件：

sudo vi /etc/audit/auditd.conf

로그인 후 복사

在该文件中，找到以下两行代码：

#local_events = yes
#write_logs = yes

로그인 후 복사

将这两行代码前的注释符号#去掉，修改为以下形式：

local_events = yes
write_logs = yes

로그인 후 복사

保存并退出文件。然后通过以下命令重启审计服务：

sudo service auditd restart

로그인 후 복사

二、配置审计规则
开启审计日志功能后，接下来需要配置审计规则，以便监测未经授权的访问。可以通过修改/etc/audit/audit.rules文件来配置审计规则。可以使用以下命令打开该文件：

sudo vi /etc/audit/audit.rules

로그인 후 복사

在该文件中，可以添加以下内容作为审计规则：

-a exit,always -F arch=b64 -S execve
-a exit,always -F arch=b32 -S execve

로그인 후 복사

这两行规则将监测所有的执行操作。如果只想监测特定的执行操作，可以使用以下命令：

-a exit,always -F arch=b64 -S specific_execve_syscall

로그인 후 복사

其中specific_execve_syscall为特定的执行操作的系统调用名称。可以根据具体需求修改该名称。添加完规则后，保存并退出文件。

三、查看审计日志
当系统收到未经授权的访问时，相关的信息将会被记录在审计日志中。可以使用以下命令查看审计日志：

sudo ausearch -ui 1000

로그인 후 복사

其中1000为用户ID，可以根据具体情况修改。通过该命令可以查看特定用户的审计日志。也可以使用以下命令查看所有的审计日志：

sudo ausearch

로그인 후 복사

以上命令将显示所有的审计日志。

四、增强审计日志功能
为了更好地监测未经授权的访问，还可以进一步增强审计日志功能。可以通过修改/etc/audit/audit.rules

-w /var/run/utmp -p wa -k session
-w /var/log/wtmp -p wa -k session
-w /var/log/btmp -p wa -k session

로그인 후 복사

파일에서 다음 두 줄의 코드를 찾습니다.

-w /etc/passwd -p wa -k identity_changes
-w /etc/shadow -p wa -k identity_changes
-w /etc/group -p wa -k identity_changes
-w /etc/gshadow -p wa -k identity_changes
-w /etc/sudoers -p wa -k identity_changes
-w /etc/securetty -p wa -k identity_changes
-w /var/log/messages -p wa -k logfiles

로그인 후 복사

이 두 줄의 코드 앞에 있는 주석 기호 #를 제거하고 수정합니다. 다음 형식으로:

-w /etc/passwd -p rwa -k sensitive_files
-w /etc/shadow -p rwa -k sensitive_files
-w /etc/group -p rwa -k sensitive_files
-w /etc/gshadow -p rwa -k sensitive_files
-w /etc/sudoers -p rwa -k sensitive_files
-w /etc/securetty -p rwa -k sensitive_files

로그인 후 복사