#author("2021-02-05T07:06:03+00:00","default:src128","src128") &tag(audit); *目次 [#ica3ca61] #contents *関連ページ [#ie82d855] *参考情報 [#o6b1fd93] *インストール [#d65ec717] -Ubuntuの場合 sudo install auditd *設定 [#y16755a4] -Ubuntuの場合/etc/audit/rules.d/audit.rulesを編集する。 -/etc/audit/audit.rulesは、rules.dの下の設定ファイルから作られるファイルなので編集しないように。 *サンプル [#u2c91a83] -参考になりそうな情報。[[auditd-examples/README.md at master · EricGershman/auditd-examples:https://github.com/EricGershman/auditd-examples/blob/master/README.md]]。 -以下のように設定してみた。 #pre{{ ## First rule - delete all -D ## Increase the buffers to survive stress events. ## Make this bigger for busy systems -b 8192 ## This determine how long to wait in burst of events --backlog_wait_time 0 ## Set failure mode to syslog -f 1 -a always,exit -F dir=/var/lib/mysql -S unlink -S unlinkat -S rename -S renameat -S rmdir -k delete_mysql -a always,exit -F arch=b32 -F uid=33 -S execve -k www -a always,exit -F arch=b64 -F uid=33 -S execve -k www -a always,exit -F arch=b32 -C auid!=uid -S execve -k su_prog -a always,exit -F arch=b64 -C auid!=uid -S execve -k su_prog -a exit,always -S unlink -S rmdir -k delete_file -w /var/www -p wa -k change_file -w /etc/group -p wa -k change_file -w /etc/passwd -p wa -k change_file -w /etc/shadow -p wa -k change_file -w /etc/sudoers -p -k change_file }} -mysqlファイルの削除を監視。 -a always,exit -F dir=/var/lib/mysql -S unlink -S unlinkat -S rename -S renameat -S rmdir -k delete_mysql -Webサーバー経由のコマンド実行を監視 -a always,exit -F arch=b32 -F uid=33 -S execve -k www -a always,exit -F arch=b64 -F uid=33 -S execve -k www -sudoによるコマンド実行を監視 -a always,exit -F arch=b32 -C auid!=uid -S execve -k su_prog -a always,exit -F arch=b64 -C auid!=uid -S execve -k su_prog -ファイル削除を監視 -a exit,always -S unlink -S rmdir -k delete_file -ファイルの編集を監視 -w /var/www -p wa -k change_file -w /etc/group -p wa -k change_file -w /etc/passwd -p wa -k change_file -w /etc/shadow -p wa -k change_file -w /etc/sudoers -p -k change_file *ルールの意味 [#t8d7b2a7] -