Kaip sukurti „aureport“ audito žurnalo ataskaitas sistemoje „Centos 7“

Nuolatinis mūsų serverių stebėjimas garantuoja jų vientisumą ir funkcionalumą bet kuriuo metu, ypač kai kalbama apie produktyvios aplinkos serverius. Periodiškai atliekant sistemos saugumo auditą garantuojame, kad būsime atnaujinti ir žengsime vieną žingsnį į priekį galimų sistemos grėsmių ir pažeidžiamumų akivaizdoje.

Auditai turėtų būti laikomi dažna užduotimi IT srityje, kad ateityje būtų užkirstas kelias daug radikalesniems veiksmams, turintiems įtakos vartotojų vaidmenims, paslaugoms ar elementams.

Dabar „Solvetic“ nurodys, kaip galime sukurti audito ataskaitas, kurios yra gyvybiškai svarbios valdymo susitikimams, palaikymui ar įvykių, įvykusių serveryje, žurnalams, šiuo atveju kalbame apie „CentOS 7“.

Kas yra aureportas„Aureport“ programa sukurta taip, kad galėtume generuoti konkrečias ir gyvybiškai svarbias ataskaitas apie audito žurnalo rinkmenose įrašytus įvykius.

Pagal numatytuosius nustatymus, norint sukurti ataskaitą, pateikiama užklausa visiems audito.log failams, esantiems kataloge / var / log / audit /. Ataskaitoje bus galima nurodyti kitą failą, prieš kurį bus vykdoma ataskaita, naudojant komandą aureport -if failo pavadinimas.

„Aureport“ siūlo įvairias jo naudojimo alternatyvas, ir kiekvienas iš jų duos skirtingą rezultatą, šie variantai yra tokie.

1. Sukurkite ataskaitą apie audito taisyklės aureport raktus

Jei naudosime parametrą -k, „aureport“ pateiks ataskaitą apie visus audito taisyklėse apibrėžtus raktus.

Jo vykdymas yra toks:

 aureport -k

Jo rezultatas yra toks:

Ten galime pamatyti išsamią informaciją, nurodančią datą, laiką ir įvykį. Galima įgalinti skaitinių objektų aiškinimą tekste (pvz., UID konvertavimą į paskyros pavadinimą) naudojant parinktį -i:

 aureport -k -i

2. Sukurkite ataskaitą apie autentifikavimo bandymus „aureport“ sistemoje

Gali būti, kad saugumo ir kontrolės sumetimais mums reikia ataskaitos apie visus įvykius, susijusius su visų CentOS 7 vartotojų autentifikavimo bandymais, tam naudosime parametrą -au.

 aureport -au aureport -au -i

Rezultatas bus toks:

3. Sukurkite ataskaitas, susijusias su „aureport“ prisijungimais

Dėl parametro -l bus galima nurodyti „aureport“ sugeneruoti visų prisijungimų prie „CentOS 7“ ataskaitą.
Mes vykdysime šiuos veiksmus:

 aureport -l

Gautas rezultatas bus toks:

Mes galime išsamiai pamatyti prisijungimo datą ir laiką.

4. Sukurkite ataskaitą apie nesėkmingus įvykius „aureport“ sistemoje

Jei norime gauti ataskaitą apie įvykius su klaida „CentOS 7“, kuri yra praktiška išsamiai žinoti, koks įvykis ir kada jis buvo sukurtas, galime atlikti šiuos veiksmus:

 aureport -nepavyko

Mes galime pamatyti įvykių kategorijas su atitinkama suma.

5. Sugeneruokite ataskaitą tam tikrą laiko tarpą

Naudojant „aureport“ galima generuoti ataskaitas tam tikram laikotarpiui; Parametras -ts apibrėžia pradžios datą ir laiką, o reikšmė -te nustato pabaigos datą ir laiką.

Be to, vietoj realiojo laiko formatų galima naudoti tokius žodžius kaip dabar, neseniai, šiandien, vakar, šią savaitę, šią savaitę, šį mėnesį, šiais metais.

Mes galime paleisti tokias eilutes kaip:

 aureport -ts 2017-09-20 08:00:00 -te dabar -santrauka -i aureport -ts šiandien -te dabar -santrauka -i

6. Kurkite ataskaitas naudodami kitą žurnalo failo aureport

Galima sukurti ataskaitą naudojant kitą failą nei numatytieji žurnalo failai kataloge / var / log / audit, tam mes turime naudoti vėliavą -if, kad nurodytume failą:

 aureport -l -if /var/log/solvetic/hosts/node3.log

Kiti naudingi parametrai, naudojami naudojant „aureport“, yra šie:

Ataskaitos apie bandymus autentifikuoti

 -au, -aut

Ataskaita apie avc pranešimus

 -a, -avc

Pranešti apie konfigūracijos pakeitimus

 -c, --konfigūruoti

Pranešimas apie kriptovaliutos įvykius

 -cr, --crypto

Pranešimas apie įvykius

 -e, -įvykis

Ataskaita apie failus

 -f, -byla

Pasirinkite nepavykusius įvykius, kuriuos norite apdoroti ataskaitose

 -nepavyko

Pranešimai apie šeimininkus

 -h, -šeimininkas

Spausdina vykdomos komandos santrauką

 -padėti

Skaitinius objektus interpretuokite tekstePavyzdžiui, „uid“ tampa paskyros pavadinimu. Konvertavimas atliekamas naudojant dabartinius mašinos, kurioje vykdoma paieška, išteklius

 -i, -interpretuoti

.

Naudojasi nurodytu failuTai padeda analizuoti, kai įrašai buvo perkelti į kitą mašiną arba buvo išsaugota tik dalis įrašo.

 -jei, -įvesties failas

Naudoja žurnalo failo auditd.conf vietą kaip įvestį analizeiTai būtina, jei naudojate „aureport“ iš „cron“ darbo.

 -įvesties žurnalai

Audito taisyklių raktų ataskaitos

 -k, -raktas

Ataskaitos apie prisijungimus

 -l, -prisijungti

Ataskaita apie paskyros pakeitimus

 -m, --mods

Privalomos prieigos kontrolės (MAC) įvykių ataskaitos

 -ma, -mak

Pranešimai apie nenormalius įvykiusĮ šiuos įvykius įeina NIC, veikiančios nesąžiningai, ir nenumatytos programos.

 -n, -anomalija

Leidžia pasirinkti įvykius, kilusius iš mazgų pavadinimų eilutės, kuriuos reikia apdoroti ataskaitoseNumatytasis yra įtraukti visus mazgus. Leidžiami keli mazgai.

 -mazgo mazgo pavadinimas

Pranešti apie dabartinius procesus

 -p, -kvailas

Pranešimai apie atsakymus į nesėkmes

 -r, -atsakymas

Pranešimas apie sistemos skambučius

 -s, -skambutis

Ataskaitose pasirinkite tik sėkmingus įvykiusNumatytasis nustatymas yra sėkmingas.

 --sėkmė

Vykdo suvestinę ataskaitą, kurioje pateikiami visi pagrindiniai ataskaitos elementai

 -apibendrina

Ši parinktis rodo kiekvieno įrašo pradžios ir pabaigos laiko ataskaitą.

 -, -dienoraštis

Ieškoma įvykių, kurių laiko žymos yra lygios arba senesnės už nurodytą pabaigos laiką.Pabaigos laiko formatas priklauso nuo jūsų vietovės. Jei data praleista, manoma, kad šiandien. Jei laikas praleistas, dabar manoma. Mes galime naudoti 24 valandų laikrodį vietoj AM ar PM, kad nurodytume laiką. Atminkite, kad galima naudoti tokius žodžius: dabar, neseniai, šiandien, vakar, šią savaitę, savaitę, šį mėnesį, šiais metais. Šiandien reiškia pradėti dabar. Naujausias yra prieš 10 minučių. Vakar yra 1 sekundė po vidurnakčio. Ši savaitė reiškia, kad prasideda 1 sekundė po vidurnakčio 0 -tą savaitės dieną, kurią nustato jūsų vieta (žr. Vietos laiką). Šis mėnuo reiškia 1 sekundę po mėnesio 1 -osios vidurnakčio. Šie metai reiškia 1 sekundę po pirmojo mėnesio pirmosios dienos vidurnakčio.

 -te, --end [pabaigos data] [pabaigos laikas]

Informuoja apie terminalus

 -m, -terminalas

Ieškoma įvykių, kurių laiko žymos yra lygios arba vėlesnės už nurodytą pabaigos laikąPabaigos laiko formatas priklauso nuo jūsų vietovės. Jei data praleista, manoma, kad šiandien. Jei laikas praleistas, laikoma vidurnaktis. Mes galime naudoti 24 valandų laikrodį vietoj AM ar PM, kad nurodytume laiką.

 -ts, --start [pradžios data] [pradžia]

Informuokite apie vartotojus

 -u, -vartotojas

Išspausdinkite versiją ir išeikite iš programos

 -v, --versija

Ataskaita apie vykdomuosius failus

 -x, -vykdomas

Galiausiai, norėdami gauti bendrą pagalbos paslaugą, galime paleisti „aureport“. Tokiu būdu galime pamatyti, kaip ši programa leidžia mums sukurti išsamias ataskaitas apie visas audito problemas „Linux“ aplinkoje, šiuo atveju „CentOS 7“, ir tokiu būdu atlikti daug išsamesnį serverio įvykių administravimą.