環境
# cat /etc/redhat-release
CentOS Linux release 7.6.1810 (Core)
1. auditd.conf の設定内容
/etc/audit/auditd.confにauditdの設定内容があります。
/etc/audit/auditd.conf
#
# This file controls the configuration of the audit daemon
#
local_events = yes
write_logs = yes
log_file = /var/log/audit/audit.log
log_group = root
log_format = RAW
flush = INCREMENTAL_ASYNC
freq = 50
max_log_file = 8
num_logs = 5
priority_boost = 4
disp_qos = lossy
dispatcher = /sbin/audispd
name_format = NONE
##name = mydomain
max_log_file_action = ROTATE
space_left = 75
space_left_action = SYSLOG
verify_email = yes
action_mail_acct = root
admin_space_left = 50
admin_space_left_action = SUSPEND
disk_full_action = SUSPEND
disk_error_action = SUSPEND
use_libwrap = yes
##tcp_listen_port = 60
tcp_listen_queue = 5
tcp_max_per_addr = 1
##tcp_client_ports = 1024-65535
tcp_client_max_idle = 0
enable_krb5 = no
krb5_principal = auditd
##krb5_key_file = /etc/audit/audit.key
distribute_network = no
| 設定 | 内容 |
|---|---|
| local_events | 監査イベントの記録(yes:記録、no:記録しない) |
| write_logs | イベントのログファイル書き込み(yes:記録、no:記録しない) |
| log_file | ログファイル出力場所 |
| log_group | ログファイル書き込み権限 |
| log_format | ログファイル形式(raw:出力,nolog:破棄) |
| flush | ディスク書き込み形式(none:ディスク書込無し,incremantal:freq頻度で書込(同期)、incremantal_async:freq頻度で書込(非同期)、data:ディスク書込常時同期、sysc:完全同期) |
| freq | Flush行頻度 但しflush = INCREMENTAL_ASYNCの場合のみ |
| max_log_file | 最大容量(MB) |
| num_logs | ファイルローテート保持数(2未満でローテート無し) 但しmax_log_file_action = ROTATEの場合のみ |
| priority_boost | プロセス処理優先度(4:デフォルト、0:変更なし) |
| disp_qos | 監査イベントキューの超過時処理(lossy:監査イベント破棄、lossless:キュー回復まで待機) |
| dispatcher | 監査用プロセスの場所、アプリケーションに標準入力を渡す動作を行う |
| name_format | コンピュータ名の記入方法(none:記入無し、hostname:gethostnameコマンドに同じ、fqd:名前解決によるFQDN、numeric:IPアドレス、user:nameオプションと同じ値) |
| name | name_formatに使用する値 但しname_format = USERの場合のみ |
| max_log_file_action | 最大容量到達時のアクションを指定 |
| space_left | ログ出力用のディスク空き容量の定義(MB or %) |
| space_left_action | ログ出力用のディスク空き容量不足時のアクションを指定(オプションは別表) |
| verify_email | 通報先メールアドレスの検証を行う(yes:検証する、no:検証しない) 但しaction_mail_acctパラメータの前に記入する
|
| action_mail_acct | 通報先メールアドレス |
| admin_space_left | システム管理用のディスク容量空き容量の定義(MB or %) |
| admin_space_left_action | システム管理用のディスク容量空き容量の不足時のアクションを指定(オプションは別表) |
| disk_full_action | ディスクフル発生時のアクションを指定(オプションは別表) |
| disk_error_action | ディスクエラー/ログ書き込みエラー発生時のアクションを指定(オプションは別表) |
| use_libwrap | tcp_wrappersの使用有無(yes:使用、no:不使用) |
| ##tcp_listen_port | リモートからの監査に使用するTCPポート |
| tcp_listen_queue | リモートからの監査に使用するキュー数 |
| tcp_max_per_addr | リモートからの監査の同時接続数 |
| tcp_client_ports | リモートからの監査に使用するクライアントTCPポート |
| tcp_client_max_idle | リモートからの監査における通信アイドル時間(0で無監視) |
| enable_krb5 | (非推奨)kerberos認証を有効にする |
| krb5_principal | プリンシパル(監査主体)のチェック方法を指定 |
| krb5_key_file | プリンシパル(監査主体)のキーの場所を指定 但しkrb5_principal = auditdの場合のみ |
| distribute_network | ネットワーク発信イベントの記録(yes:記録、no:記録しない) |
アクションは以下から指定します。
ignore：動作無し
syslog：通報
email：SYSLOG及びMAIL通報
suspend：監査ログ書込中止
single：シングルユーザモード発動
halt:システム停止
2. ausearchでの検索
ausearchコマンドを利用することでauditdの内容を可読できるようになります。
| オプション | 効果 |
|---|---|
| -i、--interpret | テキスト変換 |
| -m , --message [イベント] | イベントタイプを指定 |
| -ts , --start [時刻] | イベント開始時を指定 |
| -te , --end [時刻] | イベント終了時を指定 |
| --session [セッションID] | ログインセッションIDを指定 |
| -sv、--success [yes/no] | イベントの成功/失敗を指定 |
| -ua , --uid-all [ユーザ名] | ユーザ名を指定 |
| -ui、--uid [ユーザID] | ユーザIDを指定 |
| -ga , --gid-al [グループ名] | グループ名を指定 |
| -ga , --gid-al [グループID] | グループIDを指定 |
| -w , --word [テキスト] | イベント内の任意テキストを指定 |
| -v, --version | バージョンを表示 |
時間は以下でも指定可能です。
now、recent、this-hour、boot、today、yesterday、this-week、week-ago、this-month、this-year
※recentは10分間
| イベントタイプ | 内容 |
|---|---|
| SERVICE_START | サービスの開始時にトリガーされます。 |
| SERVICE_STOP | サービスが停止したときにトリガーされます。 |
| SYSTEM_BOOT | システムの起動時にトリガーされます。 |
| LOGIN | システムログイン時にトリガーされます。 |
| USER_LOGIN | ユーザーのログイン時にトリガーされます。 |
| USER_LOGOUT | ユーザーがログアウトするときにトリガーされます。 |
2.1 今年以降のシステム起動を表示
# ausearch -i -m SYSTEM_BOOT -ts "this-year"
----
type=SYSTEM_BOOT msg=audit(2024年09月24日 13:17:57.930:7) : pid=727 uid=root auid=unset ses=unset msg=' comm=systemd-update-utmp exe=/usr/lib/systemd/systemd-update-utmp hostname=? addr=? terminal=? res=success'
----
type=SYSTEM_BOOT msg=audit(2024年10月03日 22:01:14.866:7) : pid=729 uid=root auid=unset ses=unset msg=' comm=systemd-update-utmp exe=/usr/lib/systemd/systemd-update-utmp hostname=? addr=? terminal=? res=success'
----
type=SYSTEM_BOOT msg=audit(2024年10月07日 08:50:17.668:7) : pid=728 uid=root auid=unset ses=unset msg=' comm=systemd-update-utmp exe=/usr/lib/systemd/systemd-update-utmp hostname=? addr=? terminal=? res=success'
# ausearch -i -m SYSTEM_BOOT -ts "this-year" | cut -f 1-3 -d " " | grep -v "\-\-\-\-"
type=SYSTEM_BOOT msg=audit(2024年09月24日 13:17:57.930:7)
type=SYSTEM_BOOT msg=audit(2024年10月03日 22:01:14.866:7)
type=SYSTEM_BOOT msg=audit(2024年10月07日 08:50:17.668:7)
2.2 今日以降のシステムログインイベントを表示
# ausearch -i -m LOGIN -ts "today"
----
type=LOGIN msg=audit(2024年11月04日 21:06:42.157:647) : pid=6660 uid=root old-auid=unset auid=root tty=(none) old-ses=4294967295 ses=63 res=yes
----
type=LOGIN msg=audit(2024年11月04日 22:01:01.467:657) : pid=6739 uid=root old-auid=unset auid=root tty=(none) old-ses=4294967295 ses=64 res=yes
----
type=LOGIN msg=audit(2024年11月04日 22:30:41.438:681) : pid=6778 uid=root old-auid=unset auid=user01 tty=(none) old-ses=4294967295 ses=65 res=yes
# ausearch -i -m LOGIN -ts "today" | cut -f 1-3,6,8 -d " " |grep -v "\-\-\-\-"
type=LOGIN msg=audit(2024年11月04日 21:06:42.157:647) uid=root auid=root
type=LOGIN msg=audit(2024年11月04日 22:01:01.467:657) uid=root auid=root
type=LOGIN msg=audit(2024年11月04日 22:30:41.438:681) uid=root auid=user01
2.3 指定時間のユーザログインイベントを表示
# ausearch -i -m USER_LOGIN -ua user01 -ts "2024年11月04日" "01:00" -te "2024年11月05日" "01:00"
----
type=USER_LOGIN msg=audit(2024年11月04日 22:30:41.517:687) : pid=6778 uid=root auid=user01 ses=65 msg='op=login id=user01 exe=/usr/sbin/sshd hostname=192.168.142.1 addr=192.168.142.1 terminal=/dev/pts/1 res=success'
----
type=USER_LOGIN msg=audit(2024年11月04日 22:44:30.806:721) : pid=6854 uid=root auid=user01 ses=66 msg='op=login id=user01 exe=/usr/sbin/sshd hostname=192.168.142.1 addr=192.168.142.1 terminal=/dev/pts/1 res=success'
----
type=USER_LOGIN msg=audit(2024年11月04日 22:45:00.838:749) : pid=6896 uid=root auid=user01 ses=67 msg='op=login id=user01 exe=/usr/sbin/sshd hostname=192.168.142.1 addr=192.168.142.1 terminal=/dev/pts/1 res=success'
# ausearch -i -m USER_LOGIN -ua user01 -ts "2024年11月04日" "01:00" -te "2024年11月05日" "01:00" | cut -f 1-3,7,13 -d " " | grep -v "\-\-\-\-"
type=USER_LOGIN msg=audit(2024年11月04日 22:30:41.517:687) auid=user01 addr=192.168.142.1
type=USER_LOGIN msg=audit(2024年11月04日 22:44:30.806:721) auid=user01 addr=192.168.142.1
type=USER_LOGIN msg=audit(2024年11月04日 22:45:00.838:749) auid=user01 addr=192.168.142.1
2.4 プロセスchronydの起動イベントを表示
# ausearch -i -m SERVICE_START | grep "chronyd"
type=SERVICE_START msg=audit(2024年09月24日 13:17:58.224:17) : pid=1 uid=root auid=unset ses=unset msg='unit=chronyd comm=systemd exe=/usr/lib/systemd/systemd hostname=? addr=? terminal=? res=success'
type=SERVICE_START msg=audit(2024年10月03日 22:01:15.279:26) : pid=1 uid=root auid=unset ses=unset msg='unit=chronyd comm=systemd exe=/usr/lib/systemd/systemd hostname=? addr=? terminal=? res=success'
type=SERVICE_START msg=audit(2024年10月07日 08:50:17.905:17) : pid=1 uid=root auid=unset ses=unset msg='unit=chronyd comm=systemd exe=/usr/lib/systemd/systemd hostname=? addr=? terminal=? res=success'
参考