Kuidas logide päringuid teostada CentOS/RHEL-i ausearchi tööriista abil

Oma viimases artiklis oleme selgitanud, kuidas audit-utiliidi abil RHEL- või CentOS-süsteemi auditeerida. Auditi süsteem (auditd) on terviklik logimissüsteem ja selles küsimuses ei kasutata syslogi. Kaasas on ka tööriistakomplekt tuuma auditisüsteemi haldamiseks, samuti logifailides oleva teabe otsimiseks ja aruannete koostamiseks.

Selles õpetuses selgitame, kuidas kasutada ausearch-tööriista andmete hankimiseks auditd-logifailidest RHEL-i ja CentOS-põhistel Linuxi distributsioonidel.

Nagu me varem mainisime, on auditeerimissüsteemis kasutajaruumi auditi deemon (auditd), mis koondab tuumilt eelkonfigureeritud reeglite põhjal turbega seotud teavet ja genereerib kirjed logifailis.

ausearch on lihtne käsurea tööriist, mida kasutatakse audititeemonite logifailide otsimiseks sündmuste ja erinevate otsingukriteeriumide, näiteks sündmuse identifikaatori, võtme identifikaatori, protsessori arhitektuuri, käsunime, hostinime, rühma nime või rühma ID, syscall, sõnumite ja muu põhjal. Samuti aktsepteerib stdin algandmeid.

Vaikimisi pärib ausearch faili /var/log/audit/audit.log, mida saate vaadata nagu iga teistki faili.

# cat /var/log/audit/audit.log
OR
# cat /var/log/audit/audit.log | less

Ülaltoodud ekraanipildilt näete palju faile logifailist, mis muudab konkreetse huvipakkuva teabe hankimise keeruliseks.

Seetõttu vajate ausearchi, mis võimaldab teavet järgmise süntaksiga võimsamalt ja tõhusamalt otsida.

# ausearch [options]

Lippu -p kasutatakse protsessi ID edastamiseks.

# ausearch -p 2317

Siin peate konkreetsete sõnumite tuvastamiseks kasutama valikut -m ja edukuse väärtuse määramiseks -sv .

# ausearch -m USER_LOGIN -sv no

-Ua kasutatakse kasutajanime edastamiseks.

# ausearch -ua tecmint
OR
# ausearch -ua tecmint -i	# enable interpreting of numeric entities into text.

Kindla kasutaja antud ajaperioodil tehtud toimingute päringuteks kasutage alguskuupäeva/kellaaja jaoks -ts ja lõppkuupäeva/kellaaja määramiseks järgmiselt -ts ( pange tähele, et tegelike ajavormingute asemel võite kasutada selliseid sõnu nagu praegu, hiljutine, täna, eile, see nädal, nädal tagasi, see kuu, see aasta ja ka kontrollpunkt).

# ausearch -ua tecmint -ts yesterday -te now -i

Veel näiteid konkreetse kasutaja toimingute otsimisest süsteemis.

# ausearch -ua 1000 -ts this-week -i
# ausearch -ua tecmint -m USER_LOGIN -sv no -i

Kui soovite üle vaadata kõik süsteemimuudatused, mis on seotud kasutajakontode, rühmade ja rollidega; määrake erinevad komadega eraldatud sõnumitüübid nagu allpool toodud käsus (hoolitsege komadega eraldatud loendi eest, ärge jätke koma ja järgmise üksuse vahele tühikut):

# ausearch -m ADD_USER,DEL_USER,USER_CHAUTHTOK,ADD_GROUP,DEL_GROUP,CHGRP_ID,ROLE_ASSIGN,ROLE_REMOVE  -i

Mõelge allpool toodud kontrollireeglile, mis registreerib kõik katsed/etc/passwd kasutajakontode andmebaasile juurde pääseda või seda muuta.

# auditctl -w /etc/passwd -p rwa -k passwd_changes

Nüüd proovige avada ülaltoodud fail redigeerimiseks ja sulgege see järgmiselt.

# vi /etc/passwd

Lihtsalt sellepärast, et teate, et selle kohta on logikirje salvestatud, näeksite logifaili viimaseid osi saba käsuga järgmiselt:

# tail /var/log/audit/audit.log

Mis siis, kui hiljuti on registreeritud mitu muud sündmust, oleks konkreetse teabe leidmine nii keeruline, kuid ausearchi abil saate kõigi reeglite kuvamiseks anda lipu -k koos võtmeväärtusega, mille olete määranud auditireeglis logi teated sündmuste kohta, mis on seotud faili/etc/passwd juurdepääsu või selle muutmisega.

See kuvab ka tehtud konfiguratsioonimuudatused, määratledes auditireeglid.

# ausearch -k passwd_changes | less

Lisateavet ja kasutusvalikuid leiate ausearchi manulehelt:

# man ausearch

Linuxi süsteemi auditeerimise ja logihalduse kohta lisateabe saamiseks lugege neid järgmisi seotud artikleid.

  1. Petiti - Linuxi SysAdminsi avatud lähtekoodiga logianalüüsi tööriist
  2. Serveri logide jälgimine reaalajas RHEL/CentOS 7/6 tööriistaga\"Log.io"
  3. Kuidas logi pööramist seadistada ja hallata, kasutades Linuxis rakendust Logrotate
  4. lnav - vaadake ja analüüsige Linuxi terminali Apache'i logisid

Selles õpetuses kirjeldasime, kuidas kasutada ausearchi RHEL-is ja CentOS-is auditd logifailist andmete hankimiseks. Kui teil on küsimusi või mõtteid, mida jagada, kasutage meieni jõudmiseks kommentaaride jaotist.

Järgmises artiklis selgitame, kuidas luua auditilogi failidest aruandeid RHEL/CentOS/Fedora aureporti kasutades.