Auditd

Auditd Web UI ott, ahol az ausearch nehézzé teszi a munkát

A Linux auditdémon pontosan azt rögzíti, amit kér tőle, és semmi többet, ami a szerver legpontosabb eszközévé teszi, egyben a legkellemetlenebbé, ha kérdezni kell tőle. Az ausearch és az aureport működik, de feltételezi, hogy már tudja, mit keres, és emlékszik a kapcsolóra, amely megtalálja.

Ez az oldal megmutatja az éppen betöltött auditszabályokat, a figyelt útvonalakat és rendszerhívásokat, valamint a legfrissebb eseményeket típussal, a felelős folyamattal és az eredménnyel. A betöltött szabályok látása ugyanannyit ér, mint az eseményeké: az üres szabálykészlet a leggyakoribb oka annak, hogy az auditd futni látszik, miközben semmi értékeset nem rögzít.

Egy ésszerű kiindulási készlet figyeli a /etc/passwd és a /etc/shadow változásait, a /etc/ssh/sshd_config szerkesztéseit, valamint a jogosultságemelésre használt binárisok futtatását. Ez a négy lefedi azokat a nyomokat, amelyeket a behatolások általában hagynak, anélkül hogy a hétköznapi munka zaja maga alá temetné a naplót.