2024年6月6日20:58:02评论4 views字数 15370阅读51分14秒阅读模式

知识宝库在此藏，一键关注获宝藏

付费文章均会免费移至知识星球，有需要的的朋友可星球内自取，点击此处查看详情。加入我的知识星球，开启知识学习之旅！

续上文等保2.0测评深入理解 — Linux操作系统（上）

三、安全审计

a）应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

一、查看审计进程是否正常运行

进程运行正常，默认覆盖到每个用户

service rsyslog（auditd） status

使用auditctl -s 查看内核状态

enabled=1 时为启动状态

等保2.0测评深入理解 — Linux操作系统（下）

二、确认对哪些事件进行了审计，是否包含重要用户行为和重要安全事件

1. rsyslog日志

1.1 基本规则

配置文件，查看 /etc/rsyslog.conf 文件：

这个文件规定了

①什么服务 ②什么等级信息 ③需要被记录在哪里（设备或文件）

● 服务名称

rsyslogd 主要还是通过Linux内核提供的 syslog 相关规范来设置数据的分类，Linux的syslog本身有规范一些服务信息，可以通过这些服务来存储系统的信息。Linux系统内核的syslog支持的服务类型主要有下面这些。

相对序号服务类别说明

ps：16~23 保留给本机用户使用的一些日志文件信息，较常与终端互动。

● 信息等级

同一个服务所产生的信息也是有差别的，有启动时仅通知系统而已的一般信息（information），有出现还不至于影响到正常运行的警告信息（warn），还有系统硬件发生严重错误时，所产生的重大问题信息（error）。基本上，Linux内核的syslog将信息分为8个主要的等级，根据syslog.h定义，信息名称与数值的对应如下：

8 none：不记录

7 debug：用来debug（除错）时产生的数据

6 info：仅是一些基本的信息说明而已

5 notice：虽然是正常信息，但比info还需要被注意到的一些内容

4 warning（warn）：警示的信息，可能有问题，但是还不至于影响到某个daemon运行的信息

3 err（error）：一些重大的错误信息，例如配置文件的某些设置值造成该服务无法启动的信息说明，通常借由err的错误告知，应该可以了解到该服务无法启动的问题

2 crit：比error还要严重的错误信息，这个crit是临界点（critcal）的缩写，这个错误已经很严重了

1 alert：警告，已经很有问题的等级，比crit还要严重

0 emerg（panic）：疼痛等级，意指系统已经几乎要宕机的状态，很严重的错误等级。通常大概只有硬件出问题，导致整个内核无法顺利运行，就会出现这样的等级信息。

[.=！]连接符号含义：

. ：代表记录比该等级（含该等级）还要严重的等级信息

.=：代表所需要的等级就是后面接的等级而已，其他的不要

.！：代表不等于，即除了该等级外的其他等级都记录

● 信息记录的文件名或设备或主机

文件的绝对路径：通常就是放在/var/log 里面的文件

打印机或其他：例如 /dev/lp0 这个打印机设备

用户名称：显示给用户

远程主机：需要对方主机支持，例如@study.vbird.tsai

*：代表【目前在线的所有人】，类似wall这个命令的意义

1.2 具体规则内容

1.#kern.*：只要是内核产生的信息，全部都送到console（终端）去。console 通常是由外部设备连接到系统而来，举例来说，很多封闭型主机（没有键盘、屏幕的系统）可以通过链接RS232接口将信息传输到外部系统中，例如以笔记本电脑连接到封闭主机的RS232插口。这个项目通常应该是用在系统出现严重问题而无法使用默认的屏幕观察系统时，可以通过这个项目来连接获取内核信息。

2.*info;mail.none;authpriv.none;cron.none：由于mail、authpriv、cron等类别产生的信息较多，且已写入到下面的对应文件内，除此之外的其他信息均写入到/var/log/messages文件中，所以这也是messages文件很重要的原因。

3.authpriv.*：认证方面的信息均写入/var/log/secure文件。

4.mail.*：邮件方面的信息均写入/var/logmaillog文件。

5.cron.*：计划任务均写入/var/log/cron文件。

6.*.emerg：当产生最严重的错误等级时，将该等级的信息以wall的方式广播给所有系统登录的账号，要这么做的原因是希望在线的用户能够赶紧通知系统管理员来处理这么可怕的错误问题。

7.uucp,news.crit：uucp是早起UNIX-like系统进行数据传递的通讯协议，后来常用在新闻组，news则是新闻组。当新闻组方面的信息有严重错误时，就写入/var/log/spooler文件中。

8.local7.*：将本机启动时应该显示到屏幕的信息写入到/var/log/boot.log文件中

(日志设备) 首先有服务记录日志到特定的local设备，然后再通过rsyslog存储到特定的文件中去

mail.* -/var/log/maillog ：-表示由于邮件所产生的信息比较多，因此我们希望邮件产生的信息先存储在速度较快的内存缓冲区中，等到数据量够大了再一次性地将所有数据都写入磁盘，这样有助于日志文件的读取性能。

测试emerg日志（好像注释了也没用，改成其他级别的日志也不行）

可以使用 logger -p 参数

logger -p mail.emerg "你号没了！"

在所有终端上会显示此消息

等保2.0测评深入理解 — Linux操作系统（下）

2. audit日志

2.1 查看audit服务状态

① 使用auditctl -s 查询audit状态

当enabled为1时表示开启，0为关闭

②使用s ervice auditd status 命令查看

等保2.0测评深入理解 — Linux操作系统（下）

2.2 audit审计规则

①查看规则

使用auditctl -l 命令（可能为临时生效规则）

查看/etc/audit/audit/audit.rules 文件（永久生效）

等保2.0测评深入理解 — Linux操作系统（下）

● 扩展学习

一、syslog-ng

1. 简介

syslog-ng作为syslog的替代工具，可以完全替代syslog的服务，并且通过定义规则，实现更好的过滤功能。作为syslog的下一代产品，功能肯定比syslog强大的多，如高性能、可靠的传输、支持多平台、高可靠性、众多的用户群体、强大的日志过滤及排序、事件标签和关联性……

开源版本的主页 https://www.syslog-ng.com/

2. 配置文件详解

2.1 文件位置

一般在 /etc/syslog-ng/syslog-ng.conf 内：

实例：more syslog-ng.conf

@version: 3.0

# syslog-ng.conf for Alibaba groups.

# v20141223

# [email protected]

options {

flush_lines (0);

time_reopen (10);

log_fifo_size (1000);

long_hostnames (off);

chain_hostnames (no);

use_dns (no);

use_fqdn (yes);

keep_hostname (yes);

create_dirs (yes);

dir_perm(0755);

owner("root");

group("adm");

perm(0640);

stats_freq(0);

};

source s_sys {

file ("/proc/kmsg" program_override("kernel: "));

unix-stream ("/dev/log");

internal();

};

include /etc/syslog-ng/conf.d;

include /etc/syslog-ng/remote_server.conf;

destination d_sys_cons { file("/dev/console"); };

destination d_sys_mesg { file("/var/log/messages"); };

destination d_sys_auth { file("/var/log/secure"); };

destination d_sys_mail { file("/var/log/maillog" flush_lines(10)); };

destination d_sys_spol { file("/var/log/spooler"); };

destination d_sys_boot { file("/var/log/boot.log"); };

destination d_sys_cron { file("/var/log/cron"); };

destination d_sys_kern { file("/var/log/kern"); };

destination d_sys_mlal { file("/dev/tty0"); };

filter f_sys_snoopy { program("snoopy"); };

filter f_sys_app { facility(local0,local1,local2,local3,local4); };

filter f_sys_auth { facility(auth,authpriv); };

filter f_sys_kernel { facility(kern); };

filter f_sys_mail { facility(mail); };

filter f_sys_boot { facility(local7); };

filter f_sys_cron { facility(cron); };

filter f_sys_emergency { level(emerg); };

filter f_sys_news { facility(uucp) or (facility(news) and level(crit..emerg)); };

filter f_sys_message { level(info..emerg); };

log { source(s_sys); filter(f_sys_app); flags(final); };

log { source(s_sys); destination(d_sys_loghost); };

log { source(s_sys); filter(f_sys_snoopy); flags(final); };

log { source(s_sys); filter(f_sys_auth); destination(d_sys_auth);};

log { source(s_sys); filter(f_sys_kernel); destination(d_sys_kern);};

log { source(s_sys); filter(f_sys_mail); destination(d_sys_mail);};

log { source(s_sys); filter(f_sys_cron); destination(d_sys_cron);};

log { source(s_sys); filter(f_sys_emergency); destination(d_sys_mlal);};

log { source(s_sys); filter(f_sys_boot); destination(d_sys_boot);};

log { source(s_sys); filter(f_sys_news); destination(d_sys_spol);};

log { source(s_sys); filter(f_sys_message); destination(d_sys_mesg); flags(final);};

2.2 基本架构

配置文件基于以下架构：

options｛…｝ #全局选项，多个选项时，用分号隔开。

log ｛ source(); filter(); destination();｝;

#通过关联数据源、过滤规则、目标操作组成一个完整的消息路径。

#数据源、过滤规则、目标操作分别定义。

① 选项定义 options：

optinos ｛…｝

可用参数：

chain_hostname(yes|no) #是否打开主机名链功能，打开后可在多网络段转发日志时有效

long_hostname(yes|no) #是chain_hostnames的别名，已不建议使用

keep_hostname(yes|no) #是否保留日志消息中保存的主机名称

use_dns(yes|no) #是否打开DNS查询功能

use_fqdn(yes|no) #是否使用完整的域名

check_hostname(yes|no) #是否检查主机名有没有包含不合法的字符

bad_hostname(regexp) # 可通过正规表达式指定某主机的信息不被接受

dns_cache(yes|no) # 是否打开DNS缓存功能

dns_cache_expire(n) #DNS缓存功能打开时，一个成功缓存的过期时间

dns_cache_expire_failed(n) # DNS缓存功能打开时，一个失败缓存的过期时间

dns_cache_size(n) # DNS缓存保留的主机名数量

create_dirs(yes|no) # 当指定的目标目录不存在时，是否创建该目录

dir_owner(uid) # 目录的UID

dir_group(gid) # 目录的GID

dir_perm(perm) # 目录的权限，使用八进制方式标注，例如0644

owner(uid) # 文件的UID

group(gid) # 文件的GID

perm(perm) # 文件的权限，同样，使用八进制方式标注 gc_busy_threshold(n) # 当syslog-ng忙时，其进入垃圾信息收集状态的时间一旦分派的对象达到这个数字，syslog-ng就启动垃圾信息收集状态。默认值是：3000。

gc_idle_threshold(n) # 当syslog-ng空闲时，其进入垃圾信息收集状态的时间一旦被分派的对象到达这个数字，syslog-ng就会启动垃圾信息收集状态，默认值是：100

log_fifo_size(n) # 输出队列的行数

log_msg_size(n) # 消息日志的最大值（bytes）

mark(n) # 多少时间（秒）写入两行MARK信息供参考，目前没有实现

stats(n) # 多少时间（秒）写入两行STATUS信息,默认值是：600

sync(n) # 缓存多少行的信息再写入文件中，0为不缓存，局部参数可以覆盖该值。

time_reap(n) # 在没有消息前，到达多少秒，即关闭该文件的连接

time_reopen(n) # 对于死连接，到达多少秒，会重新连接

use_time_recvd(yes|no) # 宏产生的时间是使用接受到的时间，还是日志中记录的时间；建议使用R_的宏代替接收时间，S_的宏代替日志记录的时间，而不要依靠该值定义

应用示例：

options {

log_msg_size(8192);

create_dirs (yes);

dir_perm(0755);

owner("root");

group("adm");

perm(0640);

stats_freq(0); #消息之间间隔的时间（以秒为单位）.0表示禁用发送STATS消息.

};

意为：消息的最大值为8192byte，创建权限为755权限的目录，所有者为root，用户组为adm，文件权限为640。

② 数据源定义 source：

source <sourcename>｛日志源；日志源；｝；

日志源可用参数：

file（filename） #从指定的文件读取日志信息

unix-dgram （filename） #从SOCK_DGRAM模式的unix套接字接收日志消息

unix-stream （filename） #从SOCK_STREAM模式的unix套接字接收日志消息

udp（（ip）,（port）） #从指定的UDP端口接收日志

tcp （（ip）,（port）） #从指定的TCP端口接口接收日志

sun-streams (filename) #在solaris系统中，打开一个（多个）指定的STREAM设备，从其中读取日志消息

internal（） #syslog-ng内部产生的日志

pipe（filename），fifo（filename）#从指定的管道或者FIFO设备，读取日志信息

应用示例：

source s_sys {

file ("/proc/kmsg" program_override("kernel: "));

unix-stream ("/dev/log");

internal();

#表示日志来源为本机的syslog-ng内部产生的日志

};

③ 过滤参数定义：

filter <filtername> { 过滤参数; };

过滤参数可用：

facility（..） # 根据facility（设备）选择日志消息，使用逗号分割多个facility

level（..） #根据level（优先级）选择日志消息，使用逗号分割多个level，或使用“..”表示一个范围

program(regexp) #日志消息的程序名是否匹配一个正则表达式；regexp=表达式

host(regexp) #日志消息的主机名是否和一个正则表达式匹配

match(regexp) #对日志消息的内容进行正则匹配

filter() #调用另一条过滤规则并判断它的值

# 过滤参数操作式：

and 和、or 或者、not 不包含

#facility（设备）可用消息类型

auth 用户认证

authpriv 有特权的用户认证

cron cron守护进程

daemon 各种系统守护进程

ftp ftp 守护进程

kern 内核消息

local0-local7 保留用于本地用法

lpr 打印机

mail 邮件

news 新闻

syslog 内部syslog

uucp uucp系统

user 各种用户程序来的消息

# Level等级：

emerg 最严重的错误 (如system panic)

alert 需要立即处理的严重错误

crit critical warming

err 普通错误

warn 警告信息

notice 比较不严重的信息

info 普通信息

debug 除错信息

应用示例：

filter f_sys_snoopy { program("snoopy"); };

filter f_sys_app { facility(local0,local1,local2,local3,local4); };

filter f_sys_auth { facility(auth,authpriv); };

#定义过滤规则f_sys_auth，包含auth，authpriv 用户、特权用户认证相关信息

filter f_sys_kernel { facility(kern); };

filter f_sys_mail { facility(mail); };

filter f_sys_boot { facility(local7); };

filter f_sys_cron { facility(cron); };

filter f_sys_emergency { level(emerg); };

# 定义过滤规则f_sys_emergency，包含所有emerg级别的消息

filter f_sys_news { facility(uucp) or (facility(news) and level(crit..emerg)); };

# 定义过滤规则f_sys_news，包含uccp、news中crit-emerg级别的消息

filter f_sys_message { level(info..emerg); };

# 定义过滤规则f_sys_message，包含所有info-emerg级别的消息

④ 目标操作定义 destination：

destination <name> { 目标操作; 目标操作; ... ;};

目标操作常用参数：

file (filename) #把日志写入指定文件

unix-dgram (filename) #把日志写入SOCK_DGRAM模式的unix套接字

unix-stream (filename) #把日志写入SOCK_STREAM模式的unix套接字

tcp (ip),(port) #把日志发送到指定的tcp端口

udp (ip),(port) #把日志发送到指定的udp端口

usertty(username) #把日志消息发送到已经登录的指定用户终端

pipe(filename),fifo(filename) #把日志消息发送到指定的管道或者FIFO设备

program(parm) #启动指定的程序，并把日志消息发送到该进程的标准输入

应用示例：

destination d_sys_cons { file("/dev/console"); };

destination d_sys_mesg { file("/var/log/messages"); };

# 定义目标规则 d_sys_mesg写入到日志文件/var/log/messages

destination d_sys_auth { file("/var/log/secure"); };

# 定义目标规则 d_写入到日志文件/var/log/secure

destination d_sys_mail { file("/var/log/maillog" flush_lines(10)); };

destination d_sys_spol { file("/var/log/spooler"); };

destination d_sys_boot { file("/var/log/boot.log"); };

destination d_sys_cron { file("/var/log/cron"); };

destination d_sys_kern { file("/var/log/kern"); };

destination d_sys_mlal { file("/dev/tty0"); };

⑤ log｛source(s_name); filter(f_name); destination(d_name)｝;

一条日志的处理流程大概如下：

首先是 “日志的来源 source s_name{…};”

然后是 “过滤规则 filter f_name{…};”

再然后是 “消息链 log{source(s_name;filter(f_name);destination(d_name)};”

最后是 “目标动作 destination d_name{…};”

这样一来一条日志就根据你的意思来处理了，需要注意的是一条日志消息过了之后，会匹配定义的所有配置，并不是匹配到以后就不再往下匹配了