建站
咨詢
售后
建站咨詢
新聞中心
作為一種開(kāi)放源代碼的操作系統(tǒng)，Linux 不僅穩(wěn)定、高效、安全，同時(shí)也被越來(lái)越多的企業(yè)、開(kāi)發(fā)者和安全專家所青睞。然而，隨著技術(shù)的不斷發(fā)展，Linux 系統(tǒng)的安全性亦面臨著新的威脅和挑戰(zhàn)。如何在保障系統(tǒng)功能完整性的同時(shí)，保證Linux 系統(tǒng)進(jìn)程安全呢？這時(shí)候就需要借助 Linux 的 Audit 功能。
創(chuàng)新互聯(lián)公司成立與2013年，先為孟津等服務(wù)建站，孟津等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為孟津企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問(wèn)題。
1. 什么是 Linux Audit？
在 Linux 系統(tǒng)中，Audit 是一種源于內(nèi)核的行為審計(jì)框架，可用于記錄對(duì)系統(tǒng)中某個(gè)對(duì)象的訪問(wèn)、更改等行為。一旦啟用 Audit 功能，系統(tǒng)將會(huì)對(duì)所監(jiān)控的對(duì)象進(jìn)行記錄，這些對(duì)象包括進(jìn)程、口令、審核規(guī)則等等。
在 Linux 系統(tǒng)中，Audit 被廣泛用作執(zhí)行安全審核和監(jiān)測(cè) Linux 系統(tǒng)中各個(gè)用戶、進(jìn)程和服務(wù)活動(dòng)行為的工具，主要應(yīng)用于 IT 安全、合規(guī)性審計(jì)、重要數(shù)據(jù)防護(hù)等方面。
2. 如何使用 Linux Audit？
啟用 Audit 功能：
在 RedHat/CentOS 操作系統(tǒng)中，要啟用 Audit 功能，需要進(jìn)行如下步驟：
2.1 安裝 Audit 工具包
[root@localhost ~]# yum install audit
2.2 啟動(dòng) Audit 守護(hù)進(jìn)程：
[root@localhost ~]# systemctl start auditd.service
2.3 查看 Audit 服務(wù)的啟動(dòng)狀態(tài)：
[root@localhost ~]# systemctl status auditd.service
運(yùn)行命令后，可看到 Audit 服務(wù)被成功啟用的狀態(tài)。
記錄系統(tǒng)變更：
啟動(dòng)完成后，就可以使用 auditctl 命令進(jìn)行查看或設(shè)置規(guī)則，設(shè)置需要審計(jì)的事件。例如，若要對(duì)用戶登錄、更改權(quán)限、重啟所生效的任何更改等進(jìn)行審計(jì)，可在終端輸入以下命令：
[root@localhost ~]# auditctl -w /etc/shadow -p rwxa -k shadow-change
[root@localhost ~]# auditctl -w /etc/group -p rwxa -k group-change
[root@localhost ~]# auditctl -w /etc/passwd -p rwxa -k passwd-change
[root@localhost ~]# auditctl -w /etc/sudoers -p rwxa -k sudoer-change
其中，”-w” 參數(shù)指定了需要審計(jì)的文件或目錄，”-p” 參數(shù)指定了文件操作方式，”-k” 參數(shù)指定了一個(gè)關(guān)鍵詞以便于查找 Audit 日志。
顯示系統(tǒng)變更日志：
以上步驟完成后，就可以查看系統(tǒng)的審計(jì)日志了。Linux 系統(tǒng)的審計(jì)日志記錄在 /var/log/audit/audit.log 中，使用 ausearch 工具可以對(duì)審計(jì)日志進(jìn)行查詢。
[root@localhost ~]# ausearch -f /etc/passwd
使用 ausearch 工具可查詢所關(guān)心的內(nèi)容，并進(jìn)行審理分析，從而幫助管理員及時(shí)發(fā)現(xiàn)系統(tǒng)的變更、入侵事件和漏洞等宏觀信息。而對(duì)于入侵和風(fēng)險(xiǎn)分析專家，可以進(jìn)一步通過(guò)可視化的方式查詢審計(jì)日志，例如通過(guò) BindPlane 平臺(tái)接入 Elastic Stack、微軟 Sentinel 及 Google Chronicle 等多種產(chǎn)品，或使用 Graylog、LogRhythm 等郵件、短信或手機(jī)客戶端進(jìn)行高效的實(shí)時(shí)告警和響應(yīng)工作。
3. 如何保護(hù)進(jìn)程安全？
由此可見(jiàn)，Linux Audit 工具可以方便、快捷地實(shí)現(xiàn)系統(tǒng)變更的記錄和查詢，在不同層次上為 IT 管理員、風(fēng)險(xiǎn)管理員及入侵分析、安全審計(jì)和合規(guī)性監(jiān)督等專業(yè)人士提供了很好的支持和保障。
在具體應(yīng)用中，如何利用 Audit 工具保障 Linux 系統(tǒng)中進(jìn)程的安全呢？
保護(hù)進(jìn)程安全的核心在于識(shí)別進(jìn)程、記錄進(jìn)程行為以及監(jiān)測(cè)和預(yù)防進(jìn)程異常行為，針對(duì)不同的威脅因素，可通過(guò)定義審計(jì)規(guī)則保證系統(tǒng)進(jìn)程的安全。
3.1 識(shí)別進(jìn)程
針對(duì)不同的應(yīng)用場(chǎng)景，管理員需要確定需要審計(jì)的進(jìn)程，一般情況下，可按進(jìn)程的重要性、訪問(wèn)頻率等因素進(jìn)行識(shí)別，以確保審計(jì)過(guò)程的實(shí)際價(jià)值。
3.2 記錄進(jìn)程行為
Audit 工具能夠幫助管理員記錄進(jìn)程行為，并可篩選、篩選并移除無(wú)關(guān)記錄，以便于管理員快速地定位需要審計(jì)的數(shù)據(jù)。
例如，對(duì)于 Apache 進(jìn)程，管理員可通過(guò)以下命令進(jìn)行配置：
[root@localhost ~]# auditctl -w /usr/in/httpd -p xr -k httpd
[root@localhost ~]# auditctl -w /var/log/httpd -p wa -k httpd
其中，之一個(gè)命令表示對(duì)進(jìn)程路徑 /usr/in/httpd 的執(zhí)行情況進(jìn)行審計(jì)，類型為 exe（執(zhí)行），如果出現(xiàn)了相關(guān)事件，則記錄該鍵值 k=httpd條目。第二個(gè)命令表示對(duì)/var/log/httpd 目錄的文件更改情況進(jìn)行審計(jì)，類型為write、append，記錄 k=httpd。
3.3 監(jiān)測(cè)和預(yù)防進(jìn)程異常行為
在審計(jì)日志中，除了對(duì)應(yīng)用及進(jìn)程路徑的執(zhí)行行為進(jìn)行審計(jì)之外，還可進(jìn)行異常行為的監(jiān)測(cè)，以便于及時(shí)發(fā)現(xiàn)潛在的威脅因素。
例如，可針對(duì) Apache 進(jìn)程的異常行為進(jìn)行審計(jì)：
[root@localhost ~]# auditctl -a exit,always -F arch=b64 -S setresuid,setresgid,setgroups,fchown,chown,fchownat,chmod,fchmodat -F path=/usr/in/httpd -k httpd
其中，arch=b64 表示觀察 64 位機(jī)器上的進(jìn)程異常行為，path=/usr/in/httpd 表示觀察這個(gè)路徑上的 HTTP 服務(wù)器，-S 參數(shù)指定套件各種系統(tǒng)調(diào)用，例如，setresuid, setresgid 等都是更改 UID、GID、權(quán)限以及目錄或文件的權(quán)限變更相關(guān)系統(tǒng)調(diào)用。
4.
由此可見(jiàn)，使用 Linux Audit 工具進(jìn)行進(jìn)程安全控制能夠?yàn)槠髽I(yè)和個(gè)人帶來(lái)很好的支持和保障。在應(yīng)用 Audit 工具時(shí)，需要確保審計(jì)規(guī)則的科學(xué)性和完備性，及時(shí)修補(bǔ)潛在的漏洞，并通過(guò)可視化的方式對(duì)審計(jì)日志進(jìn)行分析，從而更好地保護(hù)系統(tǒng)和進(jìn)程的安全。wwwnci.top
相關(guān)問(wèn)題拓展閱讀：
- 如何查看linux系統(tǒng)內(nèi)核審計(jì)是否開(kāi)啟
如何查看linux系統(tǒng)內(nèi)核審計(jì)是否開(kāi)啟
內(nèi)核編譯時(shí)笑桐，一般打開(kāi)NET選項(xiàng)就打開(kāi)AUDIT選項(xiàng)了。
在系畢宏統(tǒng)碰數(shù)坦中查看audit是否打開(kāi)，root 用戶執(zhí)行：
service auditd status
linux audit 保護(hù)進(jìn)程的介紹就聊到這里吧，感謝你花時(shí)間閱讀本站內(nèi)容，更多關(guān)于linux audit 保護(hù)進(jìn)程,如何利用 Linux Audit 保護(hù)進(jìn)程安全？,如何查看linux系統(tǒng)內(nèi)核審計(jì)是否開(kāi)啟的信息別忘了在本站進(jìn)行查找喔。
成都創(chuàng)新互聯(lián)科技有限公司，是一家專注于互聯(lián)網(wǎng)、IDC服務(wù)、應(yīng)用軟件開(kāi)發(fā)、網(wǎng)站建設(shè)推廣的公司，為客戶提供互聯(lián)網(wǎng)基礎(chǔ)服務(wù)！
創(chuàng)新互聯(lián)（www.cdcxhl.com）提供簡(jiǎn)單好用，價(jià)格厚道的香港/美國(guó)云服務(wù)器和獨(dú)立服務(wù)器。創(chuàng)新互聯(lián)成都老牌IDC服務(wù)商，專注四川成都IDC機(jī)房服務(wù)器托管/機(jī)柜租用。為您精選優(yōu)質(zhì)idc數(shù)據(jù)中心機(jī)房租用、服務(wù)器托管、機(jī)柜租賃、大帶寬租用，可選線路電信、移動(dòng)、聯(lián)通等。
當(dāng)前名稱：如何利用LinuxAudit保護(hù)進(jìn)程安全？(linuxaudit保護(hù)進(jìn)程)
文章鏈接：http://www.fisionsoft.com.cn/article/djeicps.html
