auditd

ausearch が骨の折れる場面のための Auditd Web UI

Linux の監査デーモンは、あなたが求めたものだけを、それ以上は何も記録しません。そのおかげでサーバー上で最も精確な道具であり、同時に問い合わせるのが最も気の重い道具でもあります。ausearch も aureport も動きますが、あなたが何を探しているかをすでに知っていて、それを見つけるオプションも覚えている前提に立っています。

このページは、いま読み込まれている監査規則、監視対象のパスとシステムコール、そして種類・責任を負うプロセス・結果を添えた最新のイベントを示します。読み込まれている規則が見えることは、イベントが見えることと同じだけの重みを持ちます。空の規則一式こそ、auditd が動いているように見えて価値あるものを何も残していない最も多い理由だからです。

ほどよい出発点は、変更について /etc/passwd と /etc/shadow を、編集について /etc/ssh/sshd_config を、そして権限昇格に使う実行ファイルの起動を見張ることです。この四つは侵入がふつう残す痕跡を覆いながら、日常業務の雑音でログを埋め尽くすことがありません。