建站
咨詢
售后
建站咨詢
新聞中心
作為一種開放源代碼的操作系統(tǒng)，Linux 不僅穩(wěn)定、高效、安全，同時也被越來越多的企業(yè)、開發(fā)者和安全專家所青睞。然而，隨著技術(shù)的不斷發(fā)展，Linux 系統(tǒng)的安全性亦面臨著新的威脅和挑戰(zhàn)。如何在保障系統(tǒng)功能完整性的同時，保證Linux 系統(tǒng)進(jìn)程安全呢？這時候就需要借助 Linux 的 Audit 功能。
創(chuàng)新互聯(lián)公司成立與2013年，先為孟津等服務(wù)建站，孟津等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為孟津企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問題。
1. 什么是 Linux Audit？
在 Linux 系統(tǒng)中，Audit 是一種源于內(nèi)核的行為審計(jì)框架，可用于記錄對系統(tǒng)中某個對象的訪問、更改等行為。一旦啟用 Audit 功能，系統(tǒng)將會對所監(jiān)控的對象進(jìn)行記錄，這些對象包括進(jìn)程、口令、審核規(guī)則等等。
在 Linux 系統(tǒng)中，Audit 被廣泛用作執(zhí)行安全審核和監(jiān)測 Linux 系統(tǒng)中各個用戶、進(jìn)程和服務(wù)活動行為的工具，主要應(yīng)用于 IT 安全、合規(guī)性審計(jì)、重要數(shù)據(jù)防護(hù)等方面。
2. 如何使用 Linux Audit？
啟用 Audit 功能：
在 RedHat/CentOS 操作系統(tǒng)中，要啟用 Audit 功能，需要進(jìn)行如下步驟：
2.1 安裝 Audit 工具包
[root@localhost ~]# yum install audit
2.2 啟動 Audit 守護(hù)進(jìn)程：
[root@localhost ~]# systemctl start auditd.service
2.3 查看 Audit 服務(wù)的啟動狀態(tài)：
[root@localhost ~]# systemctl status auditd.service
運(yùn)行命令后，可看到 Audit 服務(wù)被成功啟用的狀態(tài)。
記錄系統(tǒng)變更：
啟動完成后，就可以使用 auditctl 命令進(jìn)行查看或設(shè)置規(guī)則，設(shè)置需要審計(jì)的事件。例如，若要對用戶登錄、更改權(quán)限、重啟所生效的任何更改等進(jìn)行審計(jì)，可在終端輸入以下命令：
[root@localhost ~]# auditctl -w /etc/shadow -p rwxa -k shadow-change
[root@localhost ~]# auditctl -w /etc/group -p rwxa -k group-change
[root@localhost ~]# auditctl -w /etc/passwd -p rwxa -k passwd-change
[root@localhost ~]# auditctl -w /etc/sudoers -p rwxa -k sudoer-change
其中，”-w” 參數(shù)指定了需要審計(jì)的文件或目錄，”-p” 參數(shù)指定了文件操作方式，”-k” 參數(shù)指定了一個關(guān)鍵詞以便于查找 Audit 日志。
顯示系統(tǒng)變更日志：
以上步驟完成后，就可以查看系統(tǒng)的審計(jì)日志了。Linux 系統(tǒng)的審計(jì)日志記錄在 /var/log/audit/audit.log 中，使用 ausearch 工具可以對審計(jì)日志進(jìn)行查詢。
[root@localhost ~]# ausearch -f /etc/passwd
使用 ausearch 工具可查詢所關(guān)心的內(nèi)容，并進(jìn)行審理分析，從而幫助管理員及時發(fā)現(xiàn)系統(tǒng)的變更、入侵事件和漏洞等宏觀信息。而對于入侵和風(fēng)險分析專家，可以進(jìn)一步通過可視化的方式查詢審計(jì)日志，例如通過 BindPlane 平臺接入 Elastic Stack、微軟 Sentinel 及 Google Chronicle 等多種產(chǎn)品，或使用 Graylog、LogRhythm 等郵件、短信或手機(jī)客戶端進(jìn)行高效的實(shí)時告警和響應(yīng)工作。
3. 如何保護(hù)進(jìn)程安全？
由此可見，Linux Audit 工具可以方便、快捷地實(shí)現(xiàn)系統(tǒng)變更的記錄和查詢，在不同層次上為 IT 管理員、風(fēng)險管理員及入侵分析、安全審計(jì)和合規(guī)性監(jiān)督等專業(yè)人士提供了很好的支持和保障。
在具體應(yīng)用中，如何利用 Audit 工具保障 Linux 系統(tǒng)中進(jìn)程的安全呢？
保護(hù)進(jìn)程安全的核心在于識別進(jìn)程、記錄進(jìn)程行為以及監(jiān)測和預(yù)防進(jìn)程異常行為，針對不同的威脅因素，可通過定義審計(jì)規(guī)則保證系統(tǒng)進(jìn)程的安全。
3.1 識別進(jìn)程
針對不同的應(yīng)用場景，管理員需要確定需要審計(jì)的進(jìn)程，一般情況下，可按進(jìn)程的重要性、訪問頻率等因素進(jìn)行識別，以確保審計(jì)過程的實(shí)際價值。
3.2 記錄進(jìn)程行為
Audit 工具能夠幫助管理員記錄進(jìn)程行為，并可篩選、篩選并移除無關(guān)記錄，以便于管理員快速地定位需要審計(jì)的數(shù)據(jù)。
例如，對于 Apache 進(jìn)程，管理員可通過以下命令進(jìn)行配置：
[root@localhost ~]# auditctl -w /usr/in/httpd -p xr -k httpd
[root@localhost ~]# auditctl -w /var/log/httpd -p wa -k httpd
其中，之一個命令表示對進(jìn)程路徑 /usr/in/httpd 的執(zhí)行情況進(jìn)行審計(jì)，類型為 exe（執(zhí)行），如果出現(xiàn)了相關(guān)事件，則記錄該鍵值 k=httpd條目。第二個命令表示對/var/log/httpd 目錄的文件更改情況進(jìn)行審計(jì)，類型為write、append，記錄 k=httpd。
3.3 監(jiān)測和預(yù)防進(jìn)程異常行為
在審計(jì)日志中，除了對應(yīng)用及進(jìn)程路徑的執(zhí)行行為進(jìn)行審計(jì)之外，還可進(jìn)行異常行為的監(jiān)測，以便于及時發(fā)現(xiàn)潛在的威脅因素。
例如，可針對 Apache 進(jìn)程的異常行為進(jìn)行審計(jì)：
[root@localhost ~]# auditctl -a exit,always -F arch=b64 -S setresuid,setresgid,setgroups,fchown,chown,fchownat,chmod,fchmodat -F path=/usr/in/httpd -k httpd
其中，arch=b64 表示觀察 64 位機(jī)器上的進(jìn)程異常行為，path=/usr/in/httpd 表示觀察這個路徑上的 HTTP 服務(wù)器，-S 參數(shù)指定套件各種系統(tǒng)調(diào)用，例如，setresuid, setresgid 等都是更改 UID、GID、權(quán)限以及目錄或文件的權(quán)限變更相關(guān)系統(tǒng)調(diào)用。
4.
由此可見，使用 Linux Audit 工具進(jìn)行進(jìn)程安全控制能夠?yàn)槠髽I(yè)和個人帶來很好的支持和保障。在應(yīng)用 Audit 工具時，需要確保審計(jì)規(guī)則的科學(xué)性和完備性，及時修補(bǔ)潛在的漏洞，并通過可視化的方式對審計(jì)日志進(jìn)行分析，從而更好地保護(hù)系統(tǒng)和進(jìn)程的安全。wwwnci.top
相關(guān)問題拓展閱讀：
- 如何查看linux系統(tǒng)內(nèi)核審計(jì)是否開啟
如何查看linux系統(tǒng)內(nèi)核審計(jì)是否開啟
內(nèi)核編譯時笑桐，一般打開NET選項(xiàng)就打開AUDIT選項(xiàng)了。
在系畢宏統(tǒng)碰數(shù)坦中查看audit是否打開，root 用戶執(zhí)行：
service auditd status
linux audit 保護(hù)進(jìn)程的介紹就聊到這里吧，感謝你花時間閱讀本站內(nèi)容，更多關(guān)于linux audit 保護(hù)進(jìn)程,如何利用 Linux Audit 保護(hù)進(jìn)程安全？,如何查看linux系統(tǒng)內(nèi)核審計(jì)是否開啟的信息別忘了在本站進(jìn)行查找喔。
成都創(chuàng)新互聯(lián)科技有限公司，是一家專注于互聯(lián)網(wǎng)、IDC服務(wù)、應(yīng)用軟件開發(fā)、網(wǎng)站建設(shè)推廣的公司，為客戶提供互聯(lián)網(wǎng)基礎(chǔ)服務(wù)！
創(chuàng)新互聯(lián)（www.cdcxhl.com）提供簡單好用，價格厚道的香港/美國云服務(wù)器和獨(dú)立服務(wù)器。創(chuàng)新互聯(lián)成都老牌IDC服務(wù)商，專注四川成都IDC機(jī)房服務(wù)器托管/機(jī)柜租用。為您精選優(yōu)質(zhì)idc數(shù)據(jù)中心機(jī)房租用、服務(wù)器托管、機(jī)柜租賃、大帶寬租用，可選線路電信、移動、聯(lián)通等。
本文名稱：如何利用LinuxAudit保護(hù)進(jìn)程安全？(linuxaudit保護(hù)進(jìn)程)
當(dāng)前URL：http://www.dlmjj.cn/article/djeicps.html
