auditd

קנה Self-Hosted Protection
Live
Demo
auditd — ביקורת מערכת
מטמון: 01:42:35 רענן
Detected 8 login attempts from external IPs
כניסות היום: 6  |  Sudo: 46  |  נחסם: / 8  |  משתמש: admin
כניסות היום
6
ניסיונות כניסה חיצוניים
8
Sudo היום
46
Log
14
ניסיונות כניסה חיצוניים (8)
זמןמשתמשIP / מארחהטרמינלסטטוס
2026-10-13 01:42:35 root 198.51.100.30 — לא חסום
2026-10-12 18:52:41 root 198.51.100.20 — לא חסום
2026-10-12 11:47:31 root 198.51.100.23 — לא חסום
2026-10-12 23:21:17 root 198.51.100.16 — לא חסום
2026-10-12 23:09:59 root 198.51.100.35 — לא חסום
2026-10-11 08:26:15 root 198.51.100.16 — לא חסום
2026-10-12 07:10:17 root 198.51.100.32 — לא חסום
2026-10-11 11:45:01 root 198.51.100.23 — לא חסום
פקודות Sudo היום 46 significant / 46 total
זמןמשתמשפקודהתוצאה
2026-10-13 01:42:35 admin /usr/bin/systemctl status fail2ban OK
2026-10-13 01:26:22 admin /usr/bin/apt update OK
2026-10-13 01:22:19 admin /usr/sbin/ufw status OK
2026-10-13 00:48:29 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-13 00:33:07 admin /usr/bin/docker ps OK
2026-10-12 23:12:25 admin /usr/sbin/fail2ban-client status OK
2026-10-12 21:43:59 admin /usr/bin/systemctl restart nginx OK
2026-10-12 23:26:12 admin /usr/bin/journalctl -u sshd OK
2026-10-12 23:22:51 admin /usr/sbin/aa-status OK
2026-10-12 21:51:26 admin /usr/bin/crontab -l OK
2026-10-12 20:14:35 admin /usr/sbin/lynis audit system OK
2026-10-12 17:53:26 admin /usr/bin/cscli decisions list OK
2026-10-12 19:08:59 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 15:22:03 admin /usr/bin/apt update OK
2026-10-12 15:26:49 admin /usr/sbin/ufw status OK
2026-10-12 15:34:20 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-12 16:23:55 admin /usr/bin/docker ps OK
2026-10-12 14:10:41 admin /usr/sbin/fail2ban-client status OK
2026-10-12 14:31:29 admin /usr/bin/systemctl restart nginx OK
2026-10-12 11:09:13 admin /usr/bin/journalctl -u sshd OK
2026-10-12 15:39:55 admin /usr/sbin/aa-status OK
2026-10-12 18:03:02 admin /usr/bin/crontab -l OK
2026-10-12 17:27:13 admin /usr/sbin/lynis audit system OK
2026-10-12 07:30:51 admin /usr/bin/cscli decisions list OK
2026-10-12 20:43:47 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 12:24:15 admin /usr/bin/apt update OK
2026-10-12 09:07:39 admin /usr/sbin/ufw status OK
2026-10-12 09:16:11 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-12 07:16:35 admin /usr/bin/docker ps OK
2026-10-12 10:49:23 admin /usr/sbin/fail2ban-client status OK
2026-10-12 13:13:35 admin /usr/bin/systemctl restart nginx OK
2026-10-12 13:19:06 admin /usr/bin/journalctl -u sshd OK
2026-10-12 03:36:11 admin /usr/sbin/aa-status OK
2026-10-12 18:57:14 admin /usr/bin/crontab -l OK
2026-10-12 18:34:45 admin /usr/sbin/lynis audit system OK
2026-10-12 01:56:20 admin /usr/bin/cscli decisions list OK
2026-10-11 21:37:11 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 07:00:52 admin /usr/bin/apt update OK
2026-10-12 15:49:47 admin /usr/sbin/ufw status OK
2026-10-12 01:06:26 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-12 18:47:55 admin /usr/bin/docker ps OK
2026-10-11 16:11:32 admin /usr/sbin/fail2ban-client status OK
2026-10-11 21:08:59 admin /usr/bin/systemctl restart nginx OK
2026-10-12 04:11:09 admin /usr/bin/journalctl -u sshd OK
2026-10-11 13:34:07 admin /usr/sbin/aa-status OK
2026-10-11 14:20:50 admin /usr/bin/crontab -l OK
כניסות / יציאות היום (6)
זמןסוגמשתמשIP / מארחתוצאהסטטוס
2026-10-13 01:42:35 USER_LOGIN admin 203.0.113.20 OK לא חסום
2026-10-12 21:09:30 USER_LOGIN admin 203.0.113.20 OK לא חסום
2026-10-12 06:05:09 USER_LOGIN admin 203.0.113.20 OK לא חסום
2026-10-12 00:48:41 USER_LOGIN admin 203.0.113.20 OK לא חסום
2026-10-11 20:33:15 USER_LOGIN admin 203.0.113.20 OK לא חסום
2026-10-11 21:58:05 USER_LOGIN admin 203.0.113.20 OK לא חסום
/var/log/audit/audit.log

‏Auditd Web UI במקום שבו ausearch מקשה על העבודה

שד הביקורת של Linux מתעד בדיוק את מה שביקשתם ממנו ולא יותר, וזה עושה אותו לכלי המדויק ביותר בשרת ולבלתי נעים ביותר לתחקור. ‏ausearch ו-aureport עובדים, אך מניחים שאתם כבר יודעים מה אתם מחפשים וזוכרים את הדגל שמוצא זאת.

הדף מציג את כללי הביקורת הטעונים ברגע זה, את הנתיבים ואת קריאות המערכת שבמעקב, ואת האירועים האחרונים עם הסוג, התהליך האחראי והתוצאה. לראות את הכללים הטעונים שוקל בדיוק כמו לראות את האירועים: מערך כללים ריק הוא הסיבה השכיחה ביותר לכך ש-auditd נראה פועל בלי לתעד דבר בעל ערך.

מערך התחלתי סביר עוקב אחרי /etc/passwd ו-/etc/shadow לשינויים, אחרי /etc/ssh/sshd_config לעריכות, ואחרי הרצת קבצים בינריים להעלאת הרשאות. ארבעה אלה מכסים את העקבות שחדירות נוטות להשאיר, בלי לקבור את היומן תחת רעש העבודה השוטפת.