O framework de auditoria do Linux: escrever regras do auditd, monitorar arquivos e consultar os resultados

Objetivo

Adicionar regras de auditoria persistentes que monitorem um arquivo sensível e registrem as chamadas de sistema relevantes, carregá-las sem reiniciar a máquina e consultar os eventos resultantes com ausearch e aureport.

Pré-requisitos

Privilégios de root; o pacote audit (com auditd, auditctl, augenrules, ausearch e aureport instalados); o serviço auditd em execução. O auditd é "the userspace component to the Linux Auditing System" (o componente de espaço de usuário do sistema de auditoria do Linux) e grava os registros em disco.

Passos

1. Adicione um arquivo de regras no diretório de regras, em vez de editar um único arquivo monolítico: /etc/audit/rules.d/50-etc-watch.rules, contendo -a always,exit -F arch=b64 -F path=/etc/passwd -F perm=wa -F key=identity-files (inclua uma segunda linha com arch=b32 em hosts que executam programas de 32 bits). perm=wa corresponde a gravações e alterações de atributos, e a chave (key) marca os eventos correspondentes para consulta posterior. A forma antiga -w /etc/passwd -p wa -k identity-files ainda é carregada, mas a man page atual do auditctl afirma que a forma -w "is for backwards compatibility and is deprecated due to poor system performance" (existe por compatibilidade retroativa e está obsoleta devido ao baixo desempenho do sistema) e orienta converter esses monitoramentos para a forma baseada em chamadas de sistema.
2. Mescle todos os arquivos de /etc/audit/rules.d (somente os que terminam em .rules) em /etc/audit/audit.rules e carregue-os: augenrules --load. O augenrules "merges all component audit rules files, found in the audit rules directory, /etc/audit/rules.d" (mescla todos os arquivos de regras de componentes encontrados no diretório de regras de auditoria); augenrules --check informa se há uma mesclagem pendente, sem gravar nada.
3. Confirme que a regra está ativa: auditctl -l deve listá-la. Se ela aparece na lista, mas nunca corresponde a nada, procure nessa saída uma regra -a never,task: a man page observa que muitos sistemas instalam uma por padrão (o arquivo 10-no-audit.rules) para que os processos pulem a avaliação de regras.
4. Provoque um evento correspondente com uma alteração inofensiva (por exemplo, sudo touch /etc/passwd, que apenas atualiza os carimbos de data e hora) e busque-o pela chave: ausearch -k identity-files -ts recent (recent significa os últimos 10 minutos). A documentação do ausearch descreve -k/--key como busca "for an event based on the given key string" (por um evento com base na chave informada).
5. Obtenha uma visão agregada em vez de registros individuais: aureport -k para um resumo por chave, ou apenas aureport, que "produces summary reports of the audit system logs" (produz relatórios-resumo dos logs do sistema de auditoria).
6. Para bloquear a configuração contra novas alterações até o fim do boot atual, coloque -e 2 em um arquivo próprio (por exemplo, 99-finalize.rules); o augenrules sempre emite a última diretiva -e como a última linha do arquivo mesclado. A documentação do auditctl informa que nesse modo "any attempt to change the configuration in this mode will be audited and denied" (qualquer tentativa de alterar a configuração neste modo será auditada e negada) e que a configuração "can only be changed by rebooting the machine" (só pode ser alterada reiniciando a máquina). Reserve esse passo para o fim da janela de manutenção, não para o início.

Resultado esperado

ausearch -k identity-files retorna o evento provocado com o contexto completo da chamada de sistema; o aureport o exibe no resumo correspondente; depois do -e 2, uma nova tentativa de carga com auditctl falha e também é registrada.

Limites e base de verificação

Desfazer o -e 2 exige reinicialização e, como a linha fica em /etc/audit/rules.d, ela é carregada novamente a cada boot: para desfazê-lo, remova o arquivo, execute augenrules para regenerar o audit.rules e reinicie. Nunca o carregue antes de confirmar que o restante do conjunto de regras está correto. Remover um arquivo de regras e executar augenrules --load de novo (sem -e 2 ativo) é a forma de desfazer uma regra indesejada; guarde uma cópia do conteúdo anterior de /etc/audit/rules.d antes de editar. As regras carregadas dessa forma persistem após reinicializações; as adicionadas apenas com auditctl -a não persistem.