Das Linux-Audit-Framework: auditd-Regeln schreiben, Dateien überwachen und die Ergebnisse auslesen

Ziel

Dauerhafte Audit-Regeln hinzufügen, die eine sensible Datei überwachen und relevante Systemaufrufe aufzeichnen, sie ohne Neustart laden und die erzeugten Ereignisse mit ausearch und aureport auslesen.

Voraussetzungen

Root-Rechte; das Paket audit (installiert sind auditd, auditctl, augenrules, ausearch und aureport); der laufende Dienst auditd. auditd ist "the userspace component to the Linux Auditing System" (die Userspace-Komponente des Linux-Audit-Systems) und schreibt die Aufzeichnungen auf die Festplatte.

Schritte

1. Eine Regeldatei im Regelverzeichnis anlegen, statt eine einzelne monolithische Datei zu bearbeiten: /etc/audit/rules.d/50-etc-watch.rules mit dem Inhalt -a always,exit -F arch=b64 -F path=/etc/passwd -F perm=wa -F key=identity-files (auf Hosts, die 32-Bit-Programme ausführen, eine zweite Zeile mit arch=b32 ergänzen). perm=wa erfasst Schreibzugriffe und Attributänderungen; der Schlüssel (Key) kennzeichnet passende Ereignisse für die spätere Suche. Die ältere Form -w /etc/passwd -p wa -k identity-files lässt sich weiterhin laden. Die aktuelle Man-Page von auditctl hält jedoch fest, dass die Form mit -w "is for backwards compatibility and is deprecated due to poor system performance", und empfiehlt, solche Watches in die Syscall-basierte Form umzuwandeln.
2. Alle Dateien unter /etc/audit/rules.d (nur solche mit der Endung .rules) zu /etc/audit/audit.rules zusammenführen und laden: augenrules --load. augenrules "merges all component audit rules files, found in the audit rules directory, /etc/audit/rules.d"; augenrules --check meldet, ob eine Zusammenführung aussteht, ohne etwas zu schreiben.
3. Prüfen, ob die Regel aktiv ist: auditctl -l sollte sie auflisten. Wird sie aufgelistet, trifft aber nie zu, in dieser Ausgabe nach einer Regel -a never,task suchen: Laut Man-Page installieren viele Systeme standardmässig eine solche Regel (eine Datei 10-no-audit.rules), damit Prozesse die Regelauswertung überspringen.
4. Ein passendes Ereignis mit einer harmlosen Änderung auslösen (z. B. sudo touch /etc/passwd, was nur die Zeitstempel aktualisiert) und über den Schlüssel danach suchen: ausearch -k identity-files -ts recent (recent bedeutet die letzten 10 Minuten). ausearch dokumentiert -k/--key als Suche "for an event based on the given key string."
5. Statt einzelner Einträge eine aggregierte Sicht abrufen: aureport -k für eine Zusammenfassung nach Schlüsseln oder aureport ohne Argumente, das "produces summary reports of the audit system logs."
6. Um die Konfiguration bis zum nächsten Neustart gegen weitere Änderungen zu sperren, -e 2 in eine eigene Datei schreiben (z. B. 99-finalize.rules); augenrules setzt die letzte -e-Direktive immer als letzte Zeile in die zusammengeführte Datei. auditctl dokumentiert, dass in diesem Modus "any attempt to change the configuration in this mode will be audited and denied" und dass die Konfiguration "can only be changed by rebooting the machine". Dieser Schritt gehört daher an das Ende eines Wartungsfensters, nicht an den Anfang.

Erwartetes Ergebnis

ausearch -k identity-files liefert das ausgelöste Ereignis mit vollständigem Syscall-Kontext; aureport zeigt es in der passenden Zusammenfassung; nach -e 2 schlägt ein weiterer Ladeversuch mit auditctl fehl und wird selbst protokolliert.

Grenzen und Prüfbasis

-e 2 lässt sich nur durch einen Neustart aufheben, und da die Zeile in /etc/audit/rules.d steht, wird sie bei jedem Boot erneut geladen: Zum Rückgängigmachen die Datei entfernen, augenrules ausführen, um audit.rules neu zu erzeugen, und anschliessend neu starten. Die Direktive nie laden, bevor feststeht, dass der übrige Regelsatz korrekt ist. Eine unerwünschte Regel lässt sich rückgängig machen, indem die Regeldatei entfernt und augenrules --load erneut ausgeführt wird (solange -e 2 nicht aktiv ist); vor dem Bearbeiten eine Kopie des bisherigen Inhalts von /etc/audit/rules.d anlegen. Auf diese Weise geladene Regeln bleiben über Neustarts hinweg erhalten; Regeln, die nur mit auditctl -a hinzugefügt wurden, nicht.