☰

特定のパス内のファイルまたはフォルダへの特定のユーザーのアクセスを監査する方法

tag-icon • tag-icon linux audit
特定のパス内のファイルまたはフォルダへの特定のユーザーのアクセスを監査する方法

構成に関する情報を読みauditdましたが、実行方法がわかりません。

  • ユーザー固有のシステムコールのロギング
  • 特定のファイルへのすべてのユーザーアクセス履歴

しかし、私が知らないのは、/homeフォルダ構造内のすべてのファイル（フォルダ構造内のすべてのサブフォルダやファイルなど）に対する特定のユーザーIDのアクセス（読み取り/書き込み）のみを記録するように監査デーモンを設定する方法です。それ）））。

したがって、ユーザーIDが2053の「bob」ユーザーがいる場合は、そのユーザーがファイルシステムで開こうとしたり読み取ろうとするすべてのファイルを知っています。私はシステムサービスや他のユーザーがこのファイルにアクセスすることに興味がありません。

ボーナスの質問：ファイルシステム階層全体に対してこの種の監査を何らかの方法で設定できますか？何らかの理由で、監査は私が知っている限りこれを許可しません。

ベストアンサー1

私は次のように始めます：

# auditctl -a exit,always -F arch=x86_64 -S open -F auid=1000 -k track-guido

これは、すべてのファイルシステムでユーザーuid = 1000のすべてのファイルを開く操作を追跡します。グラフィカルセッションを使用しているユーザーにこのタスクを実行すると、次のようになります。山次のログ（不要なようです）：

# ausearch -i -k track-guido
---- (chrome opening /etc/hosts )
type=PROCTITLE msg=audit(03/05/2015 19:49:14.990:257528) : proctitle=/opt/google/chrome/chrome  
type=PATH msg=audit(03/05/2015 19:49:14.990:257528) : item=0 name=/etc/hosts inode=917951 dev=08:02 mode=file,644 ouid=root ogid=root rdev=00:00 obj=system_u:object_r:net_conf_t:s0 nametype=NORMAL 
type=CWD msg=audit(03/05/2015 19:49:14.990:257528) :  cwd=/home/guido 
type=SYSCALL msg=audit(03/05/2015 19:49:14.990:257528) : arch=x86_64 syscall=open success=yes exit=164 a0=0x7f843c7682fe a1=O_RDONLY|O_CLOEXEC a2=0x1b6 a3=0x7f84411c070c items=1 ppid=1665 pid=3224 auid=guido uid=guido gid=guido euid=guido suid=guido fsuid=guido egid=guido sgid=guido fsgid=guido tty=(none) ses=1 comm=WorkerPool/3224 exe=/opt/google/chrome/chrome subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key=track-guido 
---- (gnome-shell opening /proc/self/stat)
type=PROCTITLE msg=audit(03/05/2015 19:49:15.041:257529) : proctitle=/usr/bin/gnome-shell 
type=PATH msg=audit(03/05/2015 19:49:15.041:257529) : item=0 name=/proc/self/stat inode=21375 dev=00:03 mode=file,444 ouid=guido ogid=guido rdev=00:00 obj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 nametype=NORMAL 
type=CWD msg=audit(03/05/2015 19:49:15.041:257529) :  cwd=/home/guido 
type=SYSCALL msg=audit(03/05/2015 19:49:15.041:257529) : arch=x86_64 syscall=open success=yes exit=42 a0=0x7f7b7b7a5f4a a1=O_RDONLY a2=0x7fff4ce2aaa0 a3=0x1 items=1 ppid=1371 pid=1665 auid=guido uid=guido gid=guido euid=guido suid=guido fsuid=guido egid=guido sgid=guido fsgid=guido tty=(none) ses=1 comm=gnome-shell exe=/usr/bin/gnome-shell subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key=track-guido

ルールを具体化し、ディレクトリツリーの制御権を持つには、次のようにします。

# auditctl -w /home/guido/Development/git/ -F auid=1000 -p rwxa -k track-guido-development

どこ：

-F auid=     filter on actual uid
-p rwxa      track Read, Write, eXecute, Attributes

（必要に応じて-Fを組み合わせることができます。）

次の出力を提供します。

# ausearch -i -k track-guido-development
----
type=PROCTITLE msg=audit(03/05/2015 22:04:40.893:365951) : proctitle=vim /home/guido/Development/git/eduFXserver.git/pom.xml 
type=PATH msg=audit(03/05/2015 22:04:40.893:365951) : item=0 name=/home/guido/Development/git/eduFXserver.git/.pom.xml.swp inode=11146444 dev=08:05 mode=file,600 ouid=guido ogid=guido rdev=00:00 obj=unconfined_u:object_r:user_home_t:s0 nametype=NORMAL 
type=CWD msg=audit(03/05/2015 22:04:40.893:365951) :  cwd=/home/guido 
type=SYSCALL msg=audit(03/05/2015 22:04:40.893:365951) : arch=x86_64 syscall=getxattr success=yes exit=37 a0=0x241e6d0 a1=0x7fc8479afcee a2=0x241e720 a3=0xff items=1 ppid=784 pid=9231 auid=guido uid=guido gid=guido euid=guido suid=guido fsuid=guido egid=guido sgid=guido fsgid=guido tty=pts3 ses=1 comm=vim exe=/usr/bin/vim subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key=track-guido-development 
----
type=PROCTITLE msg=audit(03/05/2015 22:04:40.893:365953) : proctitle=vim /home/guido/Development/git/eduFXserver.git/pom.xml 
type=PATH msg=audit(03/05/2015 22:04:40.893:365953) : item=0 name=/home/guido/Development/git/eduFXserver.git/.pom.xml.swp inode=11146444 dev=08:05 mode=file,600 ouid=guido ogid=guido rdev=00:00 obj=unconfined_u:object_r:user_home_t:s0 nametype=NORMAL 
type=CWD msg=audit(03/05/2015 22:04:40.893:365953) :  cwd=/home/guido 
type=SYSCALL msg=audit(03/05/2015 22:04:40.893:365953) : arch=x86_64 syscall=getxattr success=yes exit=37 a0=0x241e6d0 a1=0x7fc8479afcee a2=0x241e720 a3=0xff items=1 ppid=784 pid=9231 auid=guido uid=guido gid=guido euid=guido suid=guido fsuid=guido egid=guido sgid=guido fsgid=guido tty=pts3 ses=1 comm=vim exe=/usr/bin/vim subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key=track-guido-development 
----

それでも不要なコンテンツがたくさん含まれていますが、はるかに優れています。ルールのいずれかによってシステムが応答しない場合は、次のことができます。

# auditctl -R /etc/audit/audit.rules

デフォルト（空）ルールにリセットされるパニックモード。

おすすめ記事