audit機能の設定例

SUSE Linux Enterprise 11

audit機能はデフォルトでは無効になっていますが、この機能を有効にすることで、例えば、何時、どのユーザが、どのコマンドを実行したかを監視することが可能となります。

以下は、/work/aaaファイルを監視対象とし、このファイルをopenしたユーザを特定したい場合の設定例になります。

1. audit機能の有効確認
   # auditctl -s
   enabled=1 有効
   enabled=0 無効
   ※audit機能はOSを再起動すると無効になります。
   　恒久的に有効にすることはできませんので、OS再起動の都度、audit機能を有効にします。
   
   
2. audit機能を有効
   # auditctl -e 1
   
   
3. ルール設定
   # auditctl -a exit,always -F path=/work/aaa -F success=1 -F arch=b64 -S open
   
   ルール設定の確認
   # auditctl -l 　
   LIST_RULES: exit,always watch=/work/aaa success=1 (0x1) arch=3221225534 (0xc000003e) syscall=open
   
   OSを再起動するとルール設定が解除されますので、再起動してもルール設定を残したい場合は、audit.rulesにルールを追加します。
   # vi /etc/audit/audit.rules
   -a exit,always -F path=/work/aaa -F success=1 -F arch=b64 -S open
   
   
4. auditログ確認方法 　
   例）その日に情報取得する場合
   # ausearch -l -i -ts today > /tmp/audit_work.log
   
   

参考：
SUSE Linux Enterprise Server 11 SP4 Security Guide
Chapter 31. Understanding Linux Audit
https://www.suse.com/documentation/sles11/singlehtml/book_security/book_security.html#cha.audit.comp