Настройка аудита файловой системы (auditd) на Linux

# Удаление файлов (PCI DSS 10.2.7)
-a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat -F auid>=1000 -F auid!=4294967295 -k delete
# Изменение прав доступа
-a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F auid>=1000 -k perm_mod
-a always,exit -F arch=b64 -S chown,fchown,lchown,fchownat -F auid>=1000 -k perm_mod
# Изменение атрибутов
-a always,exit -F arch=b64 -S setxattr,lsetxattr,fsetxattr,removexattr,lremovexattr,fremovexattr -F auid>=1000 -k perm_mod
# Доступ к privileged файлам (sudo, su, passwd)
-a always,exit -F path=/usr/bin/sudo -F perm=x -F auid>=1000 -k privileged
-a always,exit -F path=/bin/su -F perm=x -F auid>=1000 -k privileged
-a always,exit -F path=/usr/bin/passwd -F perm=x -F auid>=1000 -k privileged
# Изменение critical конфигов
-w /etc/sudoers -p wa -k sudoers_change
-w /etc/sudoers.d/ -p wa -k sudoers_change
-w /etc/passwd -p wa -k identity
-w /etc/group -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/ssh/sshd_config -p wa -k sshd_config
# Модификация crontab
-w /etc/cron.allow -p wa -k cron
-w /etc/cron.deny -p wa -k cron
-w /etc/cron.d/ -p wa -k cron
-w /etc/cron.daily/ -p wa -k cron
-w /var/spool/cron/ -p wa -k cron
# Загрузка kernel modules
-w /sbin/insmod -p x -k modules
-w /sbin/rmmod -p x -k modules
-w /sbin/modprobe -p x -k modules
-a always,exit -F arch=b64 -S init_module,finit_module,delete_module -k modules
# Изменение сетевых настроек
-a always,exit -F arch=b64 -S sethostname,setdomainname -k network_modifications
-w /etc/hosts -p wa -k network_modifications
-w /etc/network/ -p wa -k network_modifications

После изменения правил выполните augenrules --load и проверьте auditctl -l.

Как анализировать audit.log быстро?

Raw-формат audit.log нечитабелен. ausearch и aureport — инструменты для человекочитаемого анализа. Они в 3-5 раз быстрее извлекают события по сравнению с grep по сырым логам.

# Все события, связанные с /etc/sudoers за последние 24 часа
ausearch -k sudoers_change --start today -i

# Кто запускал sudo с какими командами
ausearch -m USER_CMD --start today -i | grep -E "uid=|cmd="

# Отчёт по failed authentication за неделю
aureport --auth --start this-week --end now --failed

# Отчёт по изменениям файлов
aureport --file --start this-month --end now -i

# Все события конкретного пользователя
ausearch --uid-all 1001 --start today -i

Пошаговая настройка auditd

1. Установите пакет auditd, если не предустановлен.
2. Настройте /etc/audit/auditd.conf, задав admin_space_left_action = SUSPEND.
3. Создайте файл правил /etc/audit/rules.d/99-compliance.rules с содержимым выше.
4. Выполните augenrules --load и включите автозапуск: systemctl enable auditd.
5. Проверьте загрузку: auditctl -l должно показать все правила.

Почему стоит централизовать аудит через audisp?

audisp (audit dispatcher) форвардит события в реальном времени в syslog. Это позволяет Rsyslog или Filebeat забрать их в централизованный SIEM. Настройка плагина /etc/audit/plugins.d/syslog.conf:

active = yes direction = out path = builtin_syslog type = builtin args = LOG_INFO format = string 

Из syslog события попадают в Loki, Elasticsearch или Splunk. Там уже живут detection rules и дашборды. В отличие от стандартного syslog, auditd фиксирует события до выполнения — это даёт гарантию, что ни одна атака не останется незамеченной. Централизация также упрощает compliance-отчёты: все события сводятся в единую панель управления.

Типичные ошибки при настройке auditd

• Игнорирование архитектуры b64: на 64-битных системах без флага arch=b64 правила не работают.
• Отсутствие защиты от переполнения: без admin_space_left_action = SUSPEND лог аудита может быть заполнен злоумышленником.
• Неиммутабельные правила: без -e 2 злоумышленник может остановить auditd и изменить правила.
• Слишком широкие правила: мониторинг всех файлов генерирует миллионы событий в день — мучительно для SIEM.

Что входит в нашу работу по настройке auditd?

• Разработка правил auditd под ваш compliance (PCI DSS, SOC2, CIS).
• Настройка защиты самой службы (иммутабельность, реакция на переполнение).
• Интеграция с централизованным сбором логов (Rsyslog → SIEM).
• Скрипты для автоматического деплоя (Ansible, Terraform).
• Документация по эксплуатации и расследованию инцидентов.
• Обучение команды работе с ausearch и aureport.
• Поддержка после внедрения (месяц).

Ориентировочные сроки

Стоимость рассчитывается индивидуально после аудита инфраструктуры. Получите консультацию по auditd для вашей инфраструктуры — оценим проект и предложим оптимальное решение. Закажите аудит безопасности сегодня.

Для углублённого понимания механизма аудита Linux обратитесь к официальной документации или Wikipedia.