免费永久个人网站今日国内新闻大事
Audit（审计）介绍
Audit（审计）在Linux系统中，特别是CentOS中，是一个用于监控和记录系统上各种操作的技术手段。Audit的主要功能是为系统管理员提供一个跟踪系统上与安全相关信息的方法。根据预配置的规则，Audit会生成日志条目，以尽可能多地记录系统上所发生的事件的相关信息。
① Audit主要由以下几个部分组成：
-
auditd：Audit守护进程负责把内核产生的信息写入到硬盘上，这些信息由应用程序和系统活动触发产生。用户空间审计系统通过auditd后台进程接收内核审计系统传送来的审计信息，并将这些信息写入到日志文件中，通常是/var/log/audit/audit.log。
-
auditctl：这是一个即时控制审计守护进程行为的工具，用于添加、修改或删除审计规则等。
-
aureport：这是一个查看和生成审计报告的工具，可以根据审计日志生成各种报告，帮助管理员更好地理解系统上的活动情况。
-
ausearch：这是一个查找审计事件的工具，可以根据指定的条件在审计日志中搜索相关事件。
-
audispd：它可以将事件通知转发给其他应用程序，而不是直接写入审计日志文件中。
-
autrace：这是一个用于跟踪进程的命令，类似于strace，可以跟踪某一个进程，并将跟踪的结果写入日志文件之中。
② Audit的主要作用有：
- 安全审计：Audit可以记录系统上的各种活动，包括文件访问、用户登录、进程启动等，帮助管理员了解系统上的安全状况，发现潜在的安全威胁。
- 合规性检查：对于需要遵守特定安全规定或法规的组织来说，Audit可以提供有关系统活动的详细记录，以证明系统符合相关要求。
- 问题追踪：当系统出现问题时，Audit可以提供相关的日志记录，帮助管理员更快地定位问题的原因。
- 说明：Audit无法直接增强系统的安全性，但可以用于发现违反系统安全政策的行为。
③ 工作原理：
- 审计事件通过内核模块记录到审计子系统，这些事件记录包括事件类型、时间戳、主体（发起事件的进程或用户）、客体（受事件影响的对象）等信息。
- 管理员可以使用审计工具（如auditctl、ausearch、aureport等）来查看、分析和处理这些审计事件记录。
④ Audit所记录的安全相关事件通常包括：
- 文件访问和操作：包括文件的读、写、执行等权限变更，以及文件的创建、删除、修改等操作。这些事件对于追踪潜在的安全威胁或内部滥用行为非常有用。
- 用户和系统账户管理：Audit会记录与用户账户和系统账户相关的更改，例如新用户的创建、密码更改、用户组的修改等。这些事件有助于管理员监控账户管理的安全性。
- 系统调用：Audit可以记录系统调用的使用情况，包括哪些进程调用了哪些系统函数，以及调用的参数和返回值。这对于分析潜在的安全漏洞或恶意行为非常关键。
- 进程创建和终止：Audit会记录系统中进程的创建和终止事件，包括进程的ID、父进程ID、启动时间、终止原因等。这些信息有助于管理员了解系统的运行状况和潜在的安全风险。
- 网络连接和会话：Audit可以记录网络连接的建立和断开事件，以及用户会话的启动和结束。这对于监控网络访问和用户活动非常有用，特别是对于那些涉及敏感数据或关键服务的系统。
- 安全策略违规：