auditctl 监控文件修改

### auditctl 使用指南与配置示例 #### 1. auditctl 简介 `auditctl` 是 Linux 审计系统中的一个命令行工具，用于配置审计规则和管理审计行为。通过 `auditctl`，可以定义需要监控的文件、目录或系统调用，并记录相关的操作事件。 #### 2. 基本语法 `auditctl` 的基本语法如下： ```bash auditctl [选项] [参数] ``` 常见的选项包括： - `-a`: 添加规则到规则列表中。 - `-d`: 删除规则。 - `-w`: 监控特定文件或目录。 - `-k`: 为规则指定一个键值（key），方便后续查询。 - `-l`: 列出当前的审计规则。 #### 3. 配置示例 ##### 示例 1：监控关键文件 `/etc/passwd` 以下命令将监控 `/etc/passwd` 文件的写入和属性更改操作： ```bash auditctl -w /etc/passwd -p wa -k passwd_changes ``` - `-w /etc/passwd`: 指定要监控的文件。 - `-p wa`: 监控写入 (`w`) 和属性更改 (`a`) 操作。 - `-k passwd_changes`: 为规则指定一个键值，便于后续使用 `ausearch` 或 `aureport` 查询。 ##### 示例 2：监控特定系统调用 以下命令将监控所有 `execve` 系统调用： ```bash auditctl -a always,exit -S execve -F key=execve_calls ``` - `-a always,exit`: 在系统调用退出时记录日志。 - `-S execve`: 指定监控的系统调用为 `execve`。 - `-F key=execve_calls`: 为规则指定一个键值。 ##### 示例 3：监控用户登录活动 以下命令将监控用户的登录和注销操作： ```bash auditctl -w /var/log/wtmp -p wa -k logins ``` - `-w /var/log/wtmp`: 指定要监控的文件。 - `-p wa`: 监控写入和属性更改操作。 - `-k logins`: 为规则指定一个键值。 ##### 示例 4：限制规则的应用范围 以下命令仅监控 UID 为 0 的用户执行的 `unlink` 操作： ```bash auditctl -a always,exit -S unlink -F auid=0 -k delete_files ``` - `-S unlink`: 指定监控的系统调用为 `unlink`。 - `-F auid=0`: 仅监控 UID 为 0 的用户。 - `-k delete_files`: 为规则指定一个键值。 #### 4. 查看和删除规则 ##### 查看当前规则 使用以下命令查看当前配置的审计规则： ```bash auditctl -l ``` ##### 删除规则 以下命令删除与键值 `passwd_changes` 相关的规则： ```bash auditctl -d always,exit -w /etc/passwd -p wa -k passwd_changes ``` #### 5. 日志分析 `auditctl` 配置的规则会生成日志，存储在 `/var/log/audit/audit.log` 文件中。可以使用 `ausearch` 或 `aureport` 工具分析这些日志。 例如，查找与键值 `passwd_changes` 相关的日志： ```bash ausearch -k passwd_changes ``` #### 注意事项 - 配置规则时应尽量避免过多的规则，以免影响系统性能。 - 规则的优先级由其添加顺序决定，建议定期优化规则集[^1]。 ```python # 示例代码：列出