Auditd

Купити Self-Hosted Protection
Live
Demo
Auditd — системний аудит
Кеш: 03:03:49 Оновити
Detected 7 login attempts from external IPs
Входів сьогодні: 5  |  Sudo: 38  |  Заблоковано: / 7  |  Користувач: admin
Входів сьогодні
5
Зовнішні спроби входу
7
Sudo сьогодні
38
Log
12
Зовнішні спроби входу (7)
ЧасКористувачIP / ХостТерміналСтатус
2026-10-13 03:03:49 root 198.51.100.27 — Не заблоковано
2026-10-12 22:46:24 root 198.51.100.25 — Не заблоковано
2026-10-12 14:02:27 root 198.51.100.35 — Не заблоковано
2026-10-12 08:17:40 root 198.51.100.16 — Не заблоковано
2026-10-12 12:00:29 root 198.51.100.30 — Не заблоковано
2026-10-12 15:48:14 root 198.51.100.12 — Не заблоковано
2026-10-12 21:50:19 root 198.51.100.12 — Не заблоковано
Команди sudo сьогодні 38 significant / 38 total
ЧасКористувачКомандаРезультат
2026-10-13 03:03:49 admin /usr/bin/systemctl status fail2ban OK
2026-10-13 02:53:19 admin /usr/bin/apt update OK
2026-10-13 02:30:07 admin /usr/sbin/ufw status OK
2026-10-13 00:37:04 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-13 00:53:57 admin /usr/bin/docker ps OK
2026-10-13 00:30:04 admin /usr/sbin/fail2ban-client status OK
2026-10-12 22:49:19 admin /usr/bin/systemctl restart nginx OK
2026-10-12 23:53:39 admin /usr/bin/journalctl -u sshd OK
2026-10-12 22:55:33 admin /usr/sbin/aa-status OK
2026-10-12 23:26:46 admin /usr/bin/crontab -l OK
2026-10-12 22:59:49 admin /usr/sbin/lynis audit system OK
2026-10-12 18:49:33 admin /usr/bin/cscli decisions list OK
2026-10-12 22:51:49 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 23:23:41 admin /usr/bin/apt update OK
2026-10-12 21:52:33 admin /usr/sbin/ufw status OK
2026-10-12 17:17:19 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-12 23:04:53 admin /usr/bin/docker ps OK
2026-10-12 23:30:45 admin /usr/sbin/fail2ban-client status OK
2026-10-12 16:26:55 admin /usr/bin/systemctl restart nginx OK
2026-10-12 19:09:46 admin /usr/bin/journalctl -u sshd OK
2026-10-12 20:36:49 admin /usr/sbin/aa-status OK
2026-10-12 19:43:31 admin /usr/bin/crontab -l OK
2026-10-12 16:32:47 admin /usr/sbin/lynis audit system OK
2026-10-12 13:16:58 admin /usr/bin/cscli decisions list OK
2026-10-12 11:11:49 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 06:54:14 admin /usr/bin/apt update OK
2026-10-12 20:36:25 admin /usr/sbin/ufw status OK
2026-10-12 19:05:28 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-12 14:42:45 admin /usr/bin/docker ps OK
2026-10-12 11:46:56 admin /usr/sbin/fail2ban-client status OK
2026-10-12 02:39:49 admin /usr/bin/systemctl restart nginx OK
2026-10-12 09:45:50 admin /usr/bin/journalctl -u sshd OK
2026-10-12 21:05:57 admin /usr/sbin/aa-status OK
2026-10-12 01:14:28 admin /usr/bin/crontab -l OK
2026-10-12 00:46:13 admin /usr/sbin/lynis audit system OK
2026-10-12 19:39:54 admin /usr/bin/cscli decisions list OK
2026-10-12 14:29:01 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 15:57:49 admin /usr/bin/apt update OK
Входи / виходи сьогодні (5)
ЧасТипКористувачIP / ХостРезультатСтатус
2026-10-13 03:03:49 USER_LOGIN admin 203.0.113.20 OK Не заблоковано
2026-10-12 20:40:15 USER_LOGIN admin 203.0.113.20 OK Не заблоковано
2026-10-12 14:31:13 USER_LOGIN admin 203.0.113.20 OK Не заблоковано
2026-10-12 09:46:31 USER_LOGIN admin 203.0.113.20 OK Не заблоковано
2026-10-11 17:08:45 USER_LOGIN admin 203.0.113.20 OK Не заблоковано
/var/log/audit/audit.log

Auditd Web UI там, де ausearch ускладнює роботу

Демон аудиту Linux записує рівно те, про що ви його просите, і нічого понад те, що робить його найточнішим інструментом на сервері й найнеприємнішим для опитування. ausearch і aureport працюють, але припускають, що ви вже знаєте, що шукаєте, і пам’ятаєте ключ, який це знаходить.

Ця сторінка показує правила аудиту, завантажені саме зараз, відстежувані шляхи й системні виклики, а також найсвіжіші події з типом, відповідальним процесом і результатом. Побачити завантажені правила важить стільки ж, скільки побачити події: порожній набір правил — найчастіша причина, чому auditd має вигляд робочого, не записуючи нічого вартого уваги.

Розумний початковий набір стежить за /etc/passwd і /etc/shadow щодо змін, за /etc/ssh/sshd_config щодо редагувань і за запуском двійкових файлів підвищення привілеїв. Ці чотири покривають сліди, які зазвичай лишають вторгнення, не ховаючи журнал під шумом буденної роботи.