auditd

Ein Auditd Web UI für Logs, die ausearch mühsam macht

Der Linux-Audit-Daemon zeichnet genau das auf, worum Sie ihn bitten, und nichts darüber hinaus. Das macht ihn zum präzisesten Werkzeug auf dem Server und zugleich zum unangenehmsten in der Abfrage. ausearch und aureport funktionieren, setzen aber voraus, dass Sie bereits wissen, wonach Sie suchen — und sich an das passende Flag erinnern.

Diese Seite zeigt die aktuell geladenen Audit-Regeln, die überwachten Pfade und Syscalls sowie die jüngsten Ereignisse mit Typ, verantwortlichem Prozess und Ergebnis. Die geladenen Regeln zu sehen ist so wichtig wie die Ereignisse selbst: Ein leeres Regelwerk ist der häufigste Grund dafür, dass auditd zwar läuft, aber nichts Brauchbares aufzeichnet.

Ein sinnvoller Einstieg überwacht /etc/passwd und /etc/shadow auf Änderungen, /etc/ssh/sshd_config auf Bearbeitungen und die Ausführung von Binaries zur Rechteausweitung. Diese vier decken die Spuren ab, die Einbrüche üblicherweise hinterlassen, ohne das Log unter Alltagsrauschen zu begraben.