搜索

[12777] 2018-06-02_SUpraudit：一款MacOS上的日志审计工具

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-06-02_SUpraudit：一款MacOS上的日志审计工具 S U p r a u d i t ： 一 款 M a c O S 上 的 日 志 审 计 工 具 s e c i s t   F r e e B u f   2 0 1 8 - 0 6 - 0 2 背 景 背 景 你 可 能 对 你 可 能 对 B S M 审 计 有 所 了 解 ， 也 可 能 完 全 没 有 听 说 过 。 这 是 审 计 有 所 了 解 ， 也 可 能 完 全 没 有 听 说 过 。 这 是 S o l a r i s   O S 遗 留 下 来 的 产 物 ， 它 存 在 于 遗 留 下 来 的 产 物 ， 它 存 在 于 F r e e B S D ， ， L i n u x ， 当 然 还 包 括 ， 当 然 还 包 括 M a c O S 上 。 在 我 的 上 。 在 我 的 * O S   I n t e r n a l s : : S e c u r i t y   &   I n s e c u r i t y 的 第 二 章 中 有 审 计 的 的 第 二 章 中 有 审 计 的 详 细 介 绍 。 虽 然 它 没 有 详 细 介 绍 。 虽 然 它 没 有 M A C 框 架 那 样 强 大 （ 并 且 无 法 进 行 推 理 ， 只 能 对 操 作 做 出 反 应 ） ， 但 也 不 像 其 他 框 架 将 框 架 那 样 强 大 （ 并 且 无 法 进 行 推 理 ， 只 能 对 操 作 做 出 反 应 ） ， 但 也 不 像 其 他 框 架 将 简 单 的 现 场 监 控 与 纯 用 户 模 式 的 优 点 相 结 合 。 内 核 仍 然 非 常 复 杂 ， 但 是 你 不 能 也 不 应 该 修 改 它 的 默 认 审 计 逻 简 单 的 现 场 监 控 与 纯 用 户 模 式 的 优 点 相 结 合 。 内 核 仍 然 非 常 复 杂 ， 但 是 你 不 能 也 不 应 该 修 改 它 的 默 认 审 计 逻 辑 。 辑 。 值 得 注 意 的 是 ， p r a u d i t ( 1 ) ， 它 用 于 打 印 来 自 / v a r / a u d i t 和 / d e v / a u d i t p i p e 中 的 文 件 的 审 计 记 录 ， 这 是 一 个 非 常 可 怕 的 工 具 ， 即 使 在 与 - l （ 单 行 输 出 ） 一 起 使 用 时 ， 它 也 不 是 g r e p ( 1 ) 友 好 的 工 具 。 S U p r a u d i t 经 过 2 5 年 左 右 的 时 间 ， 现 在 是 时 候 进 行 改 造 了 。 我 已 经 将 p r a u d i t   p a l t r y   ~ 2 2 0 行 的 汇 编 回 源 （ a s s e m b l y   b a c k   t o s o u r c e ） ， 然 后 我 决 定 重 建 它 ： 使 用 模 式 与 p r a u d i t 几 乎 相 同   -   即 s u p r a u d i t 可 以 用 作 审 计 文 件 的 p i p e   ( | ) 的 接 收 端 ， 或 者 运 行 在 通 常 是 / d e v / a u d i t p i p e 上 ， 因 为 它 提 供 了 实 时 审 计 f i r e h o s e 。 s u p r a u d i t 的 新 开 关 都 是 大 写 的 ， 以 避 免 与 之 前 的 开 关 产 生 冲 突 。 这 些 开 关 允 许 各 种 输 出 格 式 或 过 滤 器 （ 如 下 “ 使 用 示 例 ” 中 所 述 ） 。 与 p r a u d i t ( 1 ) 不 同 的 是 ， 我 的 工 具   -   在 / d e v / a u d i t p i p e 上 运 行 时   -   通 过 i o c t l ( 2 ) 代 码 配 置 管 道 ， 允 许 它 在 不 影 响 本 地 审 计 策 略 的 情 况 下 设 置 自 定 义 过 滤 器 （ 或 根 本 没 有 ） 。 简 而 言 之 ， 你 不 需 要 再 配 置 任 何 东 西   -   只 需 在 管 道 上 直 接 运 行 s u p r a u d i t 并 查 看 每 个 B S D 级 别 的 操 作 即 可 ！ （ 请 注 意 ， 由 于 内 核 不 支 持 该 M a c h 级 别 操 作 ， 因 此 无 法 对 其 进 行 审 计 ） 。 使 用 示 例 使 用 示 例 最 直 接 和 有 用 的 功 能 是 - S ， 它 使 用 我 自 己 的 记 录 格 式 ， 而 不 是 A p p l e 的 默 认 格 式 。 格 式 非 常 像 L i n u x 的 s t r a c e （ 和 我 自 己 的 j t r a c e ） ， 并 且 非 常 友 好 。 你 可 以 使 用 - C 或 J C O L O R = 1 来 切 换 颜 色 ： r o o t @ Z e p h r   ( ~ )   #   s u p r a u d i t   - h s u p r a u d i t :   i l l e g a l   o p t i o n   - -   - h u s a g e :   s u p r a u d i t   [ - l n p x ]   [ - r   |   - s ]   [ - d   d e l ]   [ f i l e   . . . ]                   O R               s u p r a u d i t   [ - S   [ - C ]   | - J ]   [ - F   f i l t e r ]   [ - O   o u t p u t ]               - S :   S u p e r A u d i t   r e c o r d s   ( m u c h   m o r e   r e a d a b l e )               - C :   C o l o r   ( b e c a u s e   e v e r y t h i n g   l o o k s   b e t t e r   i n   c o l o r )               - J :   J S O N               - L :   R e l a y   t o   l o c a l   s y s l o g               - F :   F i l t e r   b y   p r e d e f i n e d   r u l e s   -   f i l e s ,   n e t ,   p r o c               - O :   L o g   t o   s p e c i f i e d   o u t p u t f i l e T h i s   i s   J ' s   s u p r a u d i t ,   c o m p i l e d   o n   M a y   2 2   2 0 1 8 .   L a t e s t   v e r s i o n   a l w a y s   f r e e   @ h t t p : / / N e w O S X B o o k . c o m / t o o l s / s u p r a u d i t . h t m l
你 可 以 使 用 g r e p 和 c u t   - d ’ | ’ 进 行 过 滤 。 . 一 些 有 用 的 g r e p 过 滤 是 ’ I N E T ’ （ 所 有 网 络 连 接 ） ， ’ I N E T 4 ’ （ I P v 4 ） 和 ’ I N E T 6 ’ 。 作 为 g r e p 的 快 速 替 代 方 案 ， 你 可 以 使 用   - F   f i l e s ,   n e t 或 p r o c 作 为 内 置 过 滤 器 。 这 是 推 荐 的 ， 因 为 之 后 你 可 以 随 时 应 用 g r e p ( 1 ) 。 此 外 ， 这 样 做 会 自 动 将 未 经 过 滤 的 审 计 日 志 保 存 到 / t m p ， 以 便 你 可 以 随 时 查 看 完 整 的 图 片 。 s y s l o g / o s _ l o g 集 成 集 成 将 - L 与 - S 一 起 使 用 将 记 录 到 本 地 s y s l o g / o s _ l o g ： 远 程 日 志 主 机 （ 远 程 日 志 主 机 （ l o g h o s t ） ） 审 计 机 制 最 明 显 的 遗 漏 之 一 是 ， 与 s y s l o g d 不 同 ， 它 没 有 对 中 央 服 务 器 进 行 远 程 日 志 记 录   -   如 果 你 想 确 保 日 志 的 完 整 性 ， 那 么 这 是 非 常 必 要 的 ， 如 果 你 拥 有 超 过 5 台 机 器 （ 如 在 企 业 中 ） ， 则 至 关 重 要 。 那 么 ， 这 已 被 修 复 。 将 s u p r a u d i t 与 - R 一 起 使 用 将 会 转 发 给 中 央 服 务 器 ， 但 这 需 要 … … S u p r a u d i t - P R O S u p r a u d i t 的 “ 专 业 版 ” 具 有 更 多 功 能 （ P R O 版 目 前 正 处 于 开 发 阶 段 ） ， 其 中 包 括 ： 触 发 器 ： 使 用 配 置 文 件 ， 可 以 用 基 本 变 量 替 换 来 执 行 超 审 计 命 令 （ 例 如 ： ’ o n   f i l e   a c c e s s   “ / s e c r e t / * ”   k i l l s u b j e c t ’ ） 。 这 对 于 安 全 敏 感 的 防 御 是 不 适 用 的 ， 因 为 审 计 机 制 是 被 动 的 。 但 是 建 立 一 个 基 本 的 主 机 入 侵 机 制 会 很 有 用 。 插 件 ： S U p r a u d i t 为 希 望 编 写 自 己 插 件 的 开 发 人 员 提 供 了 一 个 简 单 但 功 能 强 大 的 A P I 。 这 可 以 用 来 与 l i t t l e s n i t c h / b i g b r o t h e r / t w i n s i s t e r / w h a t e v e r 结 合 使 用 。 G U I （ 即 将 推 出 ） ： 当 你 合 并 多 个 审 计 日 志 时 ， 数 据 会 复 杂 的 让 你 眼 花 缭 乱 。 S U p r a u d i t   p r o 有 一 个 G U I ， 你 可 以 使 用 它 来 过 滤 ， 排 序 ， 分 析 甚 至 构 建 t i m e l i n e 视 图 ， 以 记 录 你 的 完 成 进 度 。 相 关 授 权 相 关 授 权
s u p r a u d i t 免 费 供 个 人 ， 和 / 或 5 个 主 机 内 使 用 。 如 果 你 打 算 在 1 0 个 以 上 主 机 的 商 业 环 境 中 使 用 它 ， 则 需 要 与 p r o d u c t s @ t e c h n o l o g e e k s . c o m 联 系 取 得 授 权   -   你 可 能 想 要 获 得 P R O 版 本 ， 其 中 包 含 服 务 器 （ 用 于 - R   消 息 中 继 ） 以 及 方 便 快 速 的 G U I 操 作 。 同 时 欢 迎 大 家 对 我 提 出 修 复 或 改 进 的 建 议 。 阅 读 原 文 阅 读 原 文 下 载 s u p r a u d i t 。 * 参 考 来 源 ： 参 考 来 源 ： n e w o s x b o o k ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理