Auditd

Un Auditd Web UI dove ausearch complica il lavoro

Il demone di audit di Linux registra esattamente ciò che gli chiedete e nulla di più: è lo strumento più preciso del server e il più scomodo da interrogare. ausearch e aureport funzionano, ma danno per scontato che sappiate già che cosa cercate e che ricordiate l’opzione che lo trova.

Questa pagina mostra le regole di audit attualmente caricate, i percorsi e le chiamate di sistema sorvegliati e gli eventi più recenti con tipo, processo responsabile ed esito. Vedere le regole caricate conta quanto vedere gli eventi: un insieme di regole vuoto è il motivo più frequente per cui auditd sembra in funzione senza registrare nulla di utile.

Un insieme iniziale ragionevole sorveglia /etc/passwd e /etc/shadow per le modifiche, /etc/ssh/sshd_config per le riscritture e l’esecuzione dei binari di elevazione dei privilegi. Questi quattro coprono le tracce che le intrusioni lasciano di solito, senza seppellire il log sotto il rumore del lavoro ordinario.