系统安全审计：auditd 规则配置与日志分析实战

┌─────────────────────────────────────────────────┐
│                    应用层                         │
│   auditctl（临时规则）  augenrules（永久规则加载）  │
├─────────────────────────────────────────────────┤
│                  审计守护进程                      │
│                    auditd                         │
│   （接收内核审计事件，写入 /var/log/audit/audit.log）│
├─────────────────────────────────────────────────┤
│                    内核层                         │
│              Linux Audit Subsystem               │
│   （hook 系统调用，生成审计事件，发送给 auditd）     │
├─────────────────────────────────────────────────┤
│                  日志分析工具                      │
│   ausearch（查询）  aureport（报表）               │
└─────────────────────────────────────────────────┘

# Ubuntu/Debian
sudo apt update && sudo apt install -y auditd audispd-plugins

# CentOS/RHEL 7
sudo yum install -y audit audit-libs

# CentOS/RHEL 8+/Fedora
sudo dnf install -y audit audit-libs

sudo systemctl enable --now auditd
sudo systemctl status auditd
# 确认显示 active (running)

# /etc/audit/auditd.conf 关键参数

# 日志文件路径
log_file = /var/log/audit/audit.log

# 单个日志文件最大大小（MB），默认 8，生产建议至少 100
max_log_file = 100

# 日志达到最大大小时的动作：
# ROTATE  - 轮转（保留旧日志，创建新文件）
# KEEP_LOGS - 不覆盖，不断增加（磁盘会满）
# IGNORE  - 不记录，继续写当前文件（可能损坏）
max_log_file_action = ROTATE

# 保留的轮转日志文件数量
# 总占用空间 = num_logs × max_log_file
num_logs = 10

# 磁盘剩余空间低于此值时触发警告（百分比或具体大小）
space_left = 20%
space_left_action = SYSLOG

# 极低空间警戒线
admin_space_left = 10%
# SUSPEND  - 暂停记录（默认，防系统崩溃）
# HALT     - 直接关机（极高安全要求，防日志被覆盖）
# SINGLE   - 切换到单用户模式
admin_space_left_action = SUSPEND

# 数据写入磁盘的频率
# INCREMENTAL - 配合 freq 参数，平衡性能和安全
# DATA         - 每条数据立即刷盘（最安全但最慢）
# SYNC         - 同步写入（最安全，性能最差）
flush = INCREMENTAL
freq = 50

# 日志格式：RAW（原始）或 ENRICHED（ enriched，解析 UID/ syscall 名）
log_format = ENRICHED

# 是否给审计日志文件加 immutability 标记
# 设置后即使 root 也无法直接删除日志文件（需要先停 auditd）
# 高安全环境建议启用，但会增加运维复杂度
# disk_full_action = HALT

# 查看审计系统状态
sudo auditctl -s
# 输出示例：
# enabled 1
# flag -f 1
# rate_limit 0
# backlog_limit 8192
# lost 0
# backlog 0

# 检查内核审计积压队列大小
cat /proc/sys/kernel/audit_backlog_limit
# 默认 64，生产环境建议至少 8192
# 如果为 0，需要在 /etc/default/grub 中添加 audit=1 并更新 grub

# 永久设置审计积压队列大小
echo "kernel.audit_backlog_limit=8192" | sudo tee -a /etc/sysctl.d/99-audit.conf
sudo sysctl -p /etc/sysctl.d/99-audit.conf

/etc/audit/audit.rules          # 旧格式，单文件（已弃用）
/etc/audit/rules.d/             # 新格式，目录（推荐）
  ├── 10-base.rules             # 基础规则
  ├── 20-user.rules             # 用户行为规则
  ├── 30-services.rules         # 服务相关规则
  ├── 40-custom.rules           # 自定义规则
  └── 99-finalize.rules         # 最终化规则（锁定配置等）

# 加载 /etc/audit/rules.d/ 下所有规则
sudo augenrules --load

# 验证规则已加载
sudo auditctl -l

# 重启 auditd 使配置生效
sudo service auditd restart

# 基本语法
# -w <path>     监控路径
# -p <perms>    监控权限：r=读, w=写, x=执行, a=属性变更
# -k <key>      关键词标签（用于日志过滤）

# /etc/audit/rules.d/10-identity.rules

# 监控 /etc/passwd 的写入和属性修改
-w /etc/passwd -p wa -k identity

# 监控 /etc/shadow（密码哈希文件，高敏感）
-w /etc/shadow -p wa -k identity

# 监控 /etc/group
-w /etc/group -p wa -k identity

# 监控 /etc/gshadow
-w /etc/gshadow -p wa -k identity

# 监控登录历史记录
-w /var/log/wtmp -p wa -k login_history
-w /var/log/btmp -p wa -k failed_login

# /etc/audit/rules.d/20-privilege.rules

# 监控 sudoers 配置文件修改
-w /etc/sudoers -p wa -k sudoers_modify
-w /etc/sudoers.d/ -p wa -k sudoers_modify

# 监控 sudo 命令执行
-w /usr/bin/sudo -p x -k sudo_exec

# 监控 su 命令执行
-w /bin/su -p x -k su_exec

# 监控 pkexec（PolKit 特权执行）
-w /usr/bin/pkexec -p x -k pkexec_exec

# 监控权限修改工具
-w /usr/bin/chmod -p x -k perm_change
-w /usr/bin/chown -p x -k perm_change
-w /usr/bin/chgrp -p x -k perm_change

# /etc/audit/rules.d/30-remote.rules

# 监控 SSH 服务配置文件
-w /etc/ssh/sshd_config -p wa -k sshd_config

# 监控 authorized_keys 文件（针对 root 和关键用户）
-w /root/.ssh/authorized_keys -p wa -k ssh_keys
-w /home/admin/.ssh/authorized_keys -p wa -k ssh_keys

# 监控 PAM 配置
-w /etc/pam.d/ -p wa -k pam_config

# /etc/audit/rules.d/40-custom.rules

# 监控网络配置文件
-w /etc/hosts -p wa -k network_config
-w /etc/resolv.conf -p wa -k network_config
-w /etc/sysconfig/network -p wa -k network_config

# 监控环境配置
-w /etc/profile -p wa -k profile_modify
-w /etc/bashrc -p wa -k bashrc_modify

# 监控定时任务（后门常用手法）
-w /etc/crontab -p wa -k cron_modify
-w /etc/cron.d/ -p wa -k cron_modify
-w /var/spool/cron/ -p wa -k cron_modify

# 监控 systemd 服务文件
-w /etc/systemd/system/ -p wa -k systemd_service
-w /usr/lib/systemd/system/ -p wa -k systemd_service

# 基本语法
# -a <action>,<filter>   动作和过滤条件
#   action: always（总是记录）/ never（从不记录）
#   filter: exit（系统调用退出时）/ entry（进入时）/ task（任务创建时）
# -F <field=value>        过滤条件
#   arch: 架构（b64/b32）
#   -S: 系统调用名（execve/open/chmod 等）
#   -F uid: 用户 ID
#   -F auid: 实际用户 ID（即使用户提权了也能追踪原始用户）
# -k <key>                关键词标签

# 监控所有非 root 用户的命令执行
-a always,exit -F arch=b64 -S execve -F auid!=0 -k user_cmd

# 监控 setuid/setgid 调用（权限提升）
-a always,exit -F arch=b64 -S setuid,setgid,setreuid,setregid -k privilege_change

# 监控对 /etc/shadow 的读取（非 root）
-a always,exit -F arch=b64 -S open -F path=/etc/shadow -F uid!=0 -k shadow_read

# 监控文件删除操作
-a always,exit -F arch=b64 -S unlink,unlinkat,rmdir -k file_delete

# 监控网络连接建立
-a always,exit -F arch=b64 -S connect -k network_connect

# /etc/audit/rules.d/99-finalize.rules

# 设置审计规则不可变（-e 2）
# 设置后任何对审计规则的修改都需要重启系统才能生效
# 这可以防止攻击者临时关闭审计
# 但也增加了运维复杂度——改规则必须重启
-e 2

# 设置审计缓冲区溢出时的行为
# -f 1: 仅记录失败
# -f 2: 记录失败并触发 panic（内核崩溃，极高安全环境才用）
-f 1

# 设置速率限制（每秒最大审计事件数）
# 0 表示不限制；生产环境建议设为 100-500 防止事件风暴
-r 200

type=SYSCALL msg=audit(1721000000.123:456): arch=c000003e syscall=2 success=yes exit=3 a0=7fff5a3b2c10 a1=0 a2=1b6 a3=0 items=1 ppid=1234 pid=5678 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=1 comm="cat" exe="/usr/bin/cat" key="shadow_read"

# 按关键词查询（最常用）
sudo ausearch -k identity
# 查询所有 identity 标签的审计事件

# 按时间范围查询
sudo ausearch -ts today -k sudo_exec
sudo ausearch -ts "07/15/2026" "02:00" -te "07/15/2026" "06:00"
sudo ausearch -ts yesterday -te today

# 按用户查询
sudo ausearch -ua 1000       # 查询 auid=1000 的所有事件
sudo ausearch -ui 0          # 查询 uid=0（root）的所有事件

# 按事件类型查询
sudo ausearch -m USER_LOGIN  # 查询登录事件
sudo ausearch -m USER_AUTH   # 查询认证事件
sudo ausearch -m SYSCALL     # 查询系统调用事件

# 组合查询：今天非 root 用户执行的命令
sudo ausearch -ts today -k user_cmd -m SYSCALL

# 只看失败的认证
sudo ausearch -m USER_AUTH -sv no

# 查看对特定文件的修改
sudo ausearch -f /etc/passwd

# 以更易读的格式输出（-i 解析 UID/syscall 名）
sudo ausearch -k identity -i

# 生成今日汇总报告
sudo aureport -ts today

# 按用户汇总执行命令次数
sudo aureport -x --summary -ts today

# 按文件汇总访问次数
sudo aureport -f -ts today

# 按事件类型汇总
sudo aureport -e -ts today

# 汇总失败事件
sudo aureport --failed -ts today

# 生成可读格式的登录报告
sudo aureport -l -i -ts today

Summary Report
======================
Range of time in log: 07/15/2026 02:00:00 - 07/15/2026 06:00:00
Number of changes in configuration: 0
Number of changes to user, group, role, or SEinux user: 2
Number of logins: 3
Number of failed logins: 17
Number of authentications: 12
Number of failed authentications: 17
Number of users: 3
Number of terminals: 5
Number of host names: 4
Number of executables: 23
Number of commands: 156
Number of files: 89
Number of AVC's: 0
Number of events: 1245

# 第一步：查出谁改了 /etc/passwd
sudo ausearch -k identity -i -ts today
# 找到 auid 和 pid

# 第二步：查这个用户在修改前执行了什么命令
sudo ausearch -ua <auid> -i -ts today | grep execve

# 第三步：查这个用户是否提过权
sudo ausearch -k privilege_change -ua <auid> -i

# 第四步：查是否创建了后门用户
sudo ausearch -k user_cmd -m SYSCALL -i -ts today | grep -E "useradd|usermod"

# 第五步：查是否修改了 SSH 配置放入公钥
sudo ausearch -k sshd_config -i
sudo ausearch -k ssh_keys -i

# 第六步：查是否改了定时任务
sudo ausearch -k cron_modify -i

# 第七步：导出完整审计日志用于取证
sudo ausearch --start today --end now -i > /tmp/incident-$(date +%Y%m%d).log

# 安装 audispd 插件
sudo apt install -y audispd-plugins    # Ubuntu/Debian
sudo yum install -y audispd-plugins     # CentOS/RHEL

# 配置远程转发
sudo vi /etc/audisp/audisp-remote.conf

## remote_ending = single
## remote_server = 10.0.1.100        # 远程日志服务器 IP
## remote_port = 60                  # 端口
## local_port = any
## transport = tcp
## queue_file = /var/spool/audit/remote.log
## mode = forward
## network_retry_time = 1
## initial_tries = 3
## enable_krb5 = no

# 启用远程插件
sudo vi /etc/audisp/plugins.d/au-remote.conf

## active = yes
## direction = out
## path = /sbin/audisp-remote
## type = always
## args = /etc/audisp/audisp-remote.conf
## format = string

# 重启 auditd
sudo service auditd restart

# 配置 rsyslog 接收 auditd 日志
# /etc/rsyslog.d/audit.conf

# 从 auditd 接收日志（通过 syslog 方式）
$ModLoad imfile

$InputFileName /var/log/audit/audit.log
$InputFileTag auditd
$InputFileStateFile audit-state
$InputFileSeverity info
$InputRunFileMonitor

# 转发到远程 ELK/Loki
*.* @@10.0.1.100:514    # TCP 方式转发到远程 syslog 服务器

# auditbeat.yml
auditd.audit_rules: |
  -w /etc/passwd -p wa -k identity
  -w /etc/shadow -p wa -k identity
  -w /etc/sudoers -p wa -k sudoers_modify
  -a always,exit -F arch=b64 -S execve -F auid!=0 -k user_cmd  

# 输出到 Elasticsearch
output.elasticsearch:
  hosts: ["es-node:9200"]
  index: "auditd-logs-%{+yyyy.MM.dd}"

# 或输出到 Logstash
output.logstash:
  hosts: ["logstash:5044"]

# 基准测试：记录当前 CPU 和磁盘 I/O
mpstat 1 60        # 60 秒 CPU 使用率
iostat -x 1 60     # 60 秒磁盘 I/O

# 添加测试规则
sudo auditctl -a always,exit -F arch=b64 -S open -k test_open

# 再次测试
mpstat 1 60
iostat -x 1 60

# 删除测试规则
sudo auditctl -d always,exit -F arch=b64 -S open -k test_open

# CIS 4.1.3 - 确保 auditd 服务已启用
systemctl is-enabled auditd

# CIS 4.1.4 - 确保审计日志文件权限正确
# audit.log 权限应为 600
ls -l /var/log/audit/audit.log

# CIS 4.1.9 - 确保磁盘空间不足时审计系统的行为
# /etc/audit/auditd.conf 中设置
space_left_action = email
admin_space_left_action = halt

# CIS 4.1.10 - 确保审计配置不可变
auditctl -e 2

# CIS 4.1.11 - 确保登录和注销事件被记录
-w /var/log/faillog -p wa -k logins
-w /var/log/lastlog -p wa -k logins

# CIS 4.1.13 - 确保会话启动信息被记录
-w /var/run/utmp -p wa -k session
-w /var/log/wtmp -p wa -k session
-w /var/log/btmp -p wa -k session

# CIS 4.1.14 - 确保权限修改事件被记录
-a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F auid>=1000 -F auid!=-1 -F key=perm_mod
-a always,exit -F arch=b32 -S chmod,fchmod,fchmodat -F auid>=1000 -F auid!=-1 -F key=perm_mod

# CIS 4.1.15 - 确保未授权访问事件被记录
-a always,exit -F arch=b64 -S open,openat,creat,truncate,ftruncate -F auid>=1000 -F auid!=-1 -F exit=-EACCES -F key=access
-a always,exit -F arch=b64 -S open,openat,creat,truncate,ftruncate -F auid>=1000 -F auid!=-1 -F exit=-EPERM -F key=access

#!/bin/bash
# deploy-auditd-rules.sh
# 批量在多台服务器上部署 auditd 规则

SERVERS=("web01.prod" "web02.prod" "db01.prod" "cache01.prod")
RULES_DIR="./audit-rules"

for server in "${SERVERS[@]}"; do
    echo ">>> Deploying auditd rules to $server"
    
    # 创建规则目录
    ssh "$server" "sudo mkdir -p /etc/audit/rules.d"
    
    # 传输规则文件
    scp -r "$RULES_DIR"/* "$server:/tmp/audit-rules/"
    
    # 安装 auditd（如果未安装）
    ssh "$server" "sudo apt install -y auditd audispd-plugins 2>/dev/null || sudo yum install -y audit audit-libs"
    
    # 备份现有规则
    ssh "$server" "sudo cp -r /etc/audit/rules.d /etc/audit/rules.d.bak.$(date +%Y%m%d)"
    
    # 部署新规则
    ssh "$server" "sudo cp /tmp/audit-rules/*.rules /etc/audit/rules.d/"
    
    # 加载规则
    ssh "$server" "sudo augenrules --load && sudo service auditd restart"
    
    # 验证规则
    echo ">>> Rules loaded on $server:"
    ssh "$server" "sudo auditctl -l"
    
    echo ">>> Done: $server"
done

echo ">>> All servers deployed."

#!/bin/bash
# audit-log-cleanup.sh
# 定期清理旧审计日志，释放磁盘空间

# 保留最近 180 天的日志（合规要求）
RETENTION_DAYS=180
AUDIT_LOG_DIR="/var/log/audit"

# 清理旧的轮转日志文件
find "$AUDIT_LOG_DIR" -name "audit.log.*" -mtime +$RETENTION_DAYS -delete

# 压缩 30 天前的日志
find "$AUDIT_LOG_DIR" -name "audit.log.*" -mtime +30 ! -name "*.gz" -exec gzip {} \;

# 输出当前磁盘使用情况
echo "=== Audit log disk usage ==="
du -sh "$AUDIT_LOG_DIR"
ls -lh "$AUDIT_LOG_DIR" | head -20
echo "=== Total files: $(find $AUDIT_LOG_DIR -type f | wc -l) ==="

#!/bin/bash
# audit-anomaly-check.sh
# 定期检查审计日志中的异常行为

REPORT_FILE="/var/log/audit-anomaly-$(date +%Y%m%d).log"

echo "=== Audit Anomaly Report - $(date) ===" > "$REPORT_FILE"

# 检查1：非工作时间（22:00-06:00）的 sudo 执行
echo "--- After-hours sudo executions ---" >> "$REPORT_FILE"
sudo ausearch -k sudo_exec -ts today | \
  awk -F"audit\(" '{print $2}' | \
  awk -F":" '{print $1}' | \
  while read ts; do
    hour=$(date -d @${ts%.*} +%H 2>/dev/null)
    if [ "$hour" -ge "22" ] || [ "$hour" -lt "06" ]; then
      echo "  Suspicious: sudo at $hour:00 (timestamp: $ts)"
    fi
  done >> "$REPORT_FILE" 2>/dev/null

# 检查2：失败的认证次数超过阈值
echo "--- Failed authentications (>5 times) ---" >> "$REPORT_FILE"
sudo ausearch -m USER_AUTH -sv no -ts today -i 2>/dev/null | \
  grep "uid=" | \
  awk -F'uid="' '{print $2}' | \
  awk -F'"' '{print $1}' | \
  sort | uniq -c | sort -rn | \
  awk '$1 > 5 {print "  User "$2": "$1" failed attempts"}' >> "$REPORT_FILE"

# 检查3：新用户创建
echo "--- New user creation ---" >> "$REPORT_FILE"
sudo ausearch -k identity -ts today -i 2>/dev/null | \
  grep -E "useradd|adduser" >> "$REPORT_FILE"

# 检查4：SSH 配置文件修改
echo "--- SSH config changes ---" >> "$REPORT_FILE"
sudo ausearch -k sshd_config -ts today -i >> "$REPORT_FILE"

# 检查5：cron 任务修改（可能是后门）
echo "--- Cron modifications ---" >> "$REPORT_FILE"
sudo ausearch -k cron_modify -ts today -i >> "$REPORT_FILE"

# 检查6：审计规则是否被清空（攻击者可能尝试关闭审计）
echo "--- Audit rule count check ---" >> "$REPORT_FILE"
RULE_COUNT=$(sudo auditctl -l 2>/dev/null | wc -l)
if [ "$RULE_COUNT" -lt 5 ]; then
  echo "  WARNING: Only $RULE_COUNT audit rules active! Possible tampering." >> "$REPORT_FILE"
else
  echo "  OK: $RULE_COUNT audit rules active." >> "$REPORT_FILE"
fi

echo "" >> "$REPORT_FILE"
echo "=== End of report ===" >> "$REPORT_FILE"

cat "$REPORT_FILE"

# 每天早上 8 点检查昨天的审计异常
0 8 * * * /usr/local/bin/audit-anomaly-check.sh