Tutorial de Linux auditado

1. ¿Qué hace Auditd en Linux??
2. ¿Qué puede hacer Auditd??
3. Lo que registra Auditd?
4. ¿Cómo habilito los registros de auditoría en Linux??
5. Cómo usar Ausearch Linux?
6. ¿Qué es Audispd en Linux??
7. ¿Cómo sé si auditado se está ejecutando??
8. ¿Qué es el demonio de auditoría??
9. ¿Qué es una regla de auditoría??
10. ¿Qué es AUID en Linux??
11. ¿Cómo habilito la auditoría??
12. ¿Cómo encuentro archivos de auditoría en Linux??

¿Qué hace Auditd en Linux??

auditd es el componente del espacio de usuario del sistema de auditoría de Linux. Es responsable de escribir registros de auditoría en el disco. La visualización de los registros se realiza con las utilidades ausearch o aureport. La configuración del sistema de auditoría o las reglas de carga se realiza con la utilidad auditctl.

¿Qué puede hacer Auditd??

Con estas categorías de eventos, puede auditar actividades como autenticaciones, operaciones criptográficas fallidas, terminaciones anormales, ejecución de programas y modificaciones de SELinux. Cuando se activan las reglas de auditoría, el sistema de auditoría de Linux genera un registro con una variedad de campos.

Lo que registra Auditd?

El demonio de auditoría de Linux (auditd) es la aplicación de referencia para acceder al marco de auditoría de Linux, que existe como su componente de espacio de usuario: auditd puede suscribirse a eventos del kernel según las reglas definidas por el usuario.

¿Cómo habilito los registros de auditoría en Linux??

Solución

1. Inicie sesión en la caja de Linux y asuma la raíz. ...
2. Edite / etc / profile y agregue las siguientes líneas al final del archivo: ...
3. Guardar y salir de / etc / profile.
4. Editar / etc / rsyslog.conf y agregue las siguientes líneas al final del archivo: ...
5. Guarde y salga de / etc / rsyslog.conf.

Cómo usar Ausearch Linux?

La utilidad ausearch también puede tomar entradas de stdin siempre que la entrada sean los datos de registro sin procesar. Cada opción de línea de comando dada forma una declaración "y". Por ejemplo, buscar con -m y -ui significa devolver eventos que tienen el tipo solicitado y coinciden con la identificación de usuario proporcionada.

¿Qué es Audispd en Linux??

audispd es un multiplexor de eventos de auditoría. ... Toma los eventos de auditoría y los distribuye a los programas secundarios que desean analizar los eventos en tiempo real. Cuando el demonio de auditoría recibe un SIGTERM o SIGHUP, también pasa esa señal al despachador. El despachador, a su vez, pasa esas señales a sus procesos secundarios.

¿Cómo sé si se está ejecutando auditado??

Si no tiene instalados los paquetes anteriores, ejecute este comando como usuario root para instalarlos. A continuación, verifique si auditd está habilitado y en ejecución, emita los comandos systemctl a continuación en la terminal. Ahora veremos cómo configurar auditd usando el archivo de configuración principal / etc / audit / auditd. conf.

¿Qué es el demonio de auditoría??

El demonio de auditoría es un servicio que registra eventos en un sistema Linux. ... El marco de auditoría descrito en este artículo es parte del kernel de Linux y, por lo tanto, puede controlar el acceso a una computadora hasta el nivel de llamada del sistema. El demonio de auditoría puede monitorear todo el acceso a archivos, puertos de red u otros eventos.

¿Qué es una regla de auditoría??

Reglas de control: permiten modificar el comportamiento del sistema de auditoría y parte de su configuración. ... Reglas del sistema de archivos: también conocidas como controles de archivos, permiten la auditoría del acceso a un archivo o directorio en particular. Reglas de llamadas al sistema: permiten el registro de las llamadas al sistema que realiza cualquier programa específico.

¿Qué es AUID en Linux??

El campo auid registra el ID de usuario de auditoría, que es el loginuid. Esta identificación se asigna a un usuario al iniciar sesión y todos los procesos la heredan incluso cuando la identidad del usuario cambia (por ejemplo, al cambiar de cuenta de usuario con el comando su - john).

¿Cómo habilito la auditoría??

Debería ver una entrada etiquetada con la clave configurada en la entrada de reglas (Figura C). Figura C: Auditd ha detectado con éxito nuestro cambio en el archivo de hosts. Y eso es todo lo que hay que hacer para habilitar Auditd y agregar una nueva regla al sistema.

¿Cómo encuentro archivos de auditoría en Linux??

Archivos de auditoría de Linux para ver quién realizó cambios en un archivo

1. Para utilizar la función de auditoría, debe utilizar las siguientes utilidades. ...
2. => ausearch: un comando que puede consultar los registros del demonio de auditoría en función de eventos basados ​​en diferentes criterios de búsqueda.
3. => aureport: una herramienta que produce informes resumidos de los registros del sistema de auditoría.