Налаштування аудиту файлової системи (auditd) на Linux

# Видалення файлів (PCI DSS 10.2.7)
-a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat -F auid>=1000 -F auid!=4294967295 -k delete
# Зміна прав доступу
-a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F auid>=1000 -k perm_mod
-a always,exit -F arch=b64 -S chown,fchown,lchown,fchownat -F auid>=1000 -k perm_mod
# Зміна атрибутів
-a always,exit -F arch=b64 -S setxattr,lsetxattr,fsetxattr,removexattr,lremovexattr,fremovexattr -F auid>=1000 -k perm_mod
# Доступ до privileged файлів (sudo, su, passwd)
-a always,exit -F path=/usr/bin/sudo -F perm=x -F auid>=1000 -k privileged
-a always,exit -F path=/bin/su -F perm=x -F auid>=1000 -k privileged
-a always,exit -F path=/usr/bin/passwd -F perm=x -F auid>=1000 -k privileged
# Зміна critical конфігів
-w /etc/sudoers -p wa -k sudoers_change
-w /etc/sudoers.d/ -p wa -k sudoers_change
-w /etc/passwd -p wa -k identity
-w /etc/group -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/ssh/sshd_config -p wa -k sshd_config
# Модифікація crontab
-w /etc/cron.allow -p wa -k cron
-w /etc/cron.deny -p wa -k cron
-w /etc/cron.d/ -p wa -k cron
-w /etc/cron.daily/ -p wa -k cron
-w /var/spool/cron/ -p wa -k cron
# Завантаження kernel modules
-w /sbin/insmod -p x -k modules
-w /sbin/rmmod -p x -k modules
-w /sbin/modprobe -p x -k modules
-a always,exit -F arch=b64 -S init_module,finit_module,delete_module -k modules
# Зміна мережевих налаштувань
-a always,exit -F arch=b64 -S sethostname,setdomainname -k network_modifications
-w /etc/hosts -p wa -k network_modifications
-w /etc/network/ -p wa -k network_modifications

Після зміни правил виконайте augenrules --load і перевірте auditctl -l.

Як аналізувати audit.log швидко?

Raw-формат audit.log нечитабельний. ausearch і aureport — інструменти для людиночитабельного аналізу. Вони в 3-5 разів швидше витягують події порівняно з grep по сирих логах.

# Всі події, пов'язані з /etc/sudoers за останні 24 години
ausearch -k sudoers_change --start today -i
# Хто запускав sudo з якими командами
ausearch -m USER_CMD --start today -i | grep -E "uid=|cmd="
# Звіт по failed authentication за тиждень
aureport --auth --start this-week --end now --failed
# Звіт по змінам файлів
aureport --file --start this-month --end now -i
# Всі події конкретного користувача
ausearch --uid-all 1001 --start today -i

Покрокове налаштування auditd

1. Встановіть пакет auditd, якщо не попередньо встановлений.
2. Налаштуйте /etc/audit/auditd.conf, задавши admin_space_left_action = SUSPEND.
3. Створіть файл правил /etc/audit/rules.d/99-compliance.rules з вмістом вище.
4. Виконайте augenrules --load і увімкніть автозапуск: systemctl enable auditd.
5. Перевірте завантаження: auditctl -l має показати всі правила.

Чому варто централізувати аудит через audisp?

audisp (audit dispatcher) форвардить події в реальному часі в syslog. Це дозволяє Rsyslog або Filebeat забрати їх у централізований SIEM. Налаштування плагіна /etc/audit/plugins.d/syslog.conf:

active = yes direction = out path = builtin_syslog type = builtin args = LOG_INFO format = string 

Із syslog події потрапляють у Loki, Elasticsearch або Splunk. Там вже живуть detection rules і дашборди. На відміну від стандартного syslog, auditd фіксує події до виконання — це дає гарантію, що жодна атака не залишиться непоміченою. Централізація також спрощує compliance-звіти: всі події зводяться в єдину панель управління.

Типові помилки при налаштуванні auditd

• Ігнорування архітектури b64: на 64-бітних системах без флага arch=b64 правила не працюють.
• Відсутність захисту від переповнення: без admin_space_left_action = SUSPEND лог аудиту може бути заповнений зловмисником.
• Неймутабельні правила: без -e 2 зловмисник може зупинити auditd і змінити правила.
• Занадто широкі правила: моніторинг всіх файлів генерує мільйони подій на день — мучительно для SIEM.

Що входить в нашу роботу з налаштування auditd?

• Розробка правил auditd під ваш compliance (PCI DSS, SOC2, CIS).
• Налаштування захисту самої служби (імутабельність, реакція на переповнення).
• Інтеграція з централізованим збором логів (Rsyslog → SIEM).
• Скрипти для автоматичного деплою (Ansible, Terraform).
• Документація з експлуатації та розслідування інцидентів.
• Навчання команди роботі з ausearch і aureport.
• Підтримка після впровадження (місяць).

Орієнтовні терміни

Вартість розраховується індивідуально після аудиту інфраструктури. Отримайте консультацію з auditd для вашої інфраструктури — оцінимо проект і запропонуємо оптимальне рішення. Замовте аудит безпеки сьогодні.

Для поглибленого розуміння механізму аудиту Linux зверніться до офіційної документації або Wikipedia.