auditctl: Linux 감사 규칙 관리

Debian/Ubuntu

sudo apt update
sudo apt install auditd

Debian 또는 Ubuntu 기반 시스템에서 auditctl을 설치합니다.

RHEL/CentOS/Fedora

sudo yum install audit
# 또는
sudo dnf install audit

RHEL, CentOS 또는 Fedora 기반 시스템에서 auditctl을 설치합니다.

현재 모든 감사 규칙 나열

sudo auditctl -l

현재 커널에 로드된 모든 감사 규칙을 확인합니다.

/etc/passwd 파일 변경 감시

sudo auditctl -w /etc/passwd -p wa -k passwd_changes

/etc/passwd 파일에 대한 모든 쓰기(w) 및 속성 변경(a) 접근을 감시하고, 'passwd_changes' 키를 할당합니다.

/etc/shadow 파일 읽기 시도 감시

sudo auditctl -w /etc/shadow -p r -k shadow_read

/etc/shadow 파일에 대한 읽기(r) 시도를 감시하고, 'shadow_read' 키를 할당합니다.

/var/log 디렉토리 내 파일 생성/삭제 감시

sudo auditctl -a always,exit -F dir=/var/log -F perm=wa -S creat,unlink -k log_dir_changes

/var/log 디렉토리 내에서 파일 생성(creat) 및 삭제(unlink) 시스템 호출을 감시합니다. 'log_dir_changes' 키를 할당합니다.

특정 사용자(UID)의 파일 삭제 시도 감시

sudo auditctl -a always,exit -F arch=b64 -S unlink -F auid=1000 -k user_file_delete

UID 1000인 사용자가 파일을 삭제(unlink)하는 시스템 호출을 감시합니다. 64비트 시스템 아키텍처를 명시합니다.

모든 감사 규칙 삭제

sudo auditctl -D

현재 로드된 모든 감사 규칙을 삭제합니다. (주의: 신중하게 사용해야 합니다.)

특정 키를 가진 규칙 삭제

sudo auditctl -w /etc/passwd -p wa -k passwd_changes -d

'passwd_changes' 키를 가진 규칙을 삭제합니다. 규칙을 추가할 때와 동일한 옵션을 사용해야 합니다.