auditctl: Linux監査ルールの管理

Debian/Ubuntu

sudo apt update
sudo apt install auditd

DebianまたはUbuntuベースのシステムでauditctlをインストールします。

RHEL/CentOS/Fedora

sudo yum install audit
# または
sudo dnf install audit

RHEL、CentOS、またはFedoraベースのシステムでauditctlをインストールします。

現在の全監査ルールの表示

sudo auditctl -l

現在カーネルにロードされているすべての監査ルールを確認します。

/etc/passwd ファイルの変更監視

sudo auditctl -w /etc/passwd -p wa -k passwd_changes

/etc/passwd ファイルに対するすべての書き込み（w）および属性変更（a）アクセスを監視し、「passwd_changes」キーを割り当てます。

/etc/shadow ファイルの読み取り試行監視

sudo auditctl -w /etc/shadow -p r -k shadow_read

/etc/shadow ファイルに対する読み取り（r）試行を監視し、「shadow_read」キーを割り当てます。

/var/log ディレクトリ内のファイル作成/削除監視

sudo auditctl -a always,exit -F dir=/var/log -F perm=wa -S creat,unlink -k log_dir_changes

/var/log ディレクトリ内でファイル作成（creat）および削除（unlink）システムコールを監視します。「log_dir_changes」キーを割り当てます。

特定のユーザー（UID）によるファイル削除試行監視

sudo auditctl -a always,exit -F arch=b64 -S unlink -F auid=1000 -k user_file_delete

UID 1000 のユーザーがファイルを削除（unlink）するシステムコールを監視します。64ビットシステムアーキテクチャを指定します。

全監査ルールの削除

sudo auditctl -D

現在ロードされているすべての監査ルールを削除します。（注意：慎重に使用してください。）

特定のキーを持つルールの削除

sudo auditctl -w /etc/passwd -p wa -k passwd_changes -d

「passwd_changes」キーを持つルールを削除します。ルールを追加したときと同じオプションを使用する必要があります。