设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14492] 2019-08-20_等保测评2.0之Centos安全审计 ...
返回列表 发新帖
查看: 8|回复: 0

[14492] 2019-08-20_等保测评2.0之Centos安全审计

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 16:41:04 | 显示全部楼层 |阅读模式
2019-08-20_等保测评2.0之Centos安全审计 等 保 测 评 2 . 0 之 C e n t o s 安 全 审 计 起 于 凡 而 非 于 凡   F r e e B u f   2 0 1 9 - 0 8 - 2 0 一 、 说 明 一 、 说 明 在 进 行 等 级 保 护 测 评 时 ， 需 要 检 查 主 机 的 安 全 审 计 功 能 ， 这 里 就 以 等 级 保 护 在 进 行 等 级 保 护 测 评 时 ， 需 要 检 查 主 机 的 安 全 审 计 功 能 ， 这 里 就 以 等 级 保 护 2 . 0 来 说 一 说 来 说 一 说 c e n t o s 6 在 这 方 面 的 检 测 ， 以 下 是 安 全 计 算 环 境 的 安 全 审 计 控 制 点 中 的 测 评 项 。 在 这 方 面 的 检 测 ， 以 下 是 安 全 计 算 环 境 的 安 全 审 计 控 制 点 中 的 测 评 项 。 二 、 测 评 项 二 、 测 评 项 a 这 里 在 初 级 教 程 中 ， 让 我 们 去 查 看 系 统 日 志 服 务 系 统 日 志 服 务 和 安 全 审 计 服 务 安 全 审 计 服 务 是 否 正 常 运 行 ， 但 是 这 两 者 有 什 么 关 系 以 及 具 体 有 什 么 功 能 书 里 没 说 清 楚 。 2 . 1 .   a u d i t 和 和 s y s l o g 的 关 系 的 关 系 网 上 的 资 料 ： a u d i t   主 要 用 来 记 录 安 全 信 息 ， 用 于 对 系 统 安 全 事 件 的 追 溯 ； 而   s y s l o g   日 志 系 统 用 来 记 录 系 统 中 的 各 种 信 息 ， 如 硬 件 警 报 和 软 件 日 志 等 。 但 是   s y s l o g   属 于 应 用 层 ， 没 办 法 记 录 太 多 信 息 。 a u d i t   来 记 录 内 核 信 息 ， 包 括 文 件 的 读 写 ， 权 限 的 改 变 等 。 举 个 例 子 来 说 ， 就 是 a u d i t 会 记 录 系 统 情 况 ， s y s l o g 也 会 记 录 ， 但 是 s y s l o g 记 录 的 信 息 不 如 a u d i t 更 详 细 ， 至 于 它 俩 具 体 能 记 录 啥 ， 下 文 会 说 。 在 实 际 使 用 中 ， a u d i t 和 s y s l o g 几 乎 就 是 独 立 的 ， 比 如 a u d i t 进 程 没 运 行 ， s y s l o g 不 会 受 到 影 响 ， 会 正 常 记 录 信 息 。 而 s y s l o g 没 有 开 ， a u d i t 也 不 会 受 到 影 响 ， 会 正 常 记 录 信 息 。 2 . 2 .   安 全 审 计 内 核 模 块 与 安 全 审 计 守 护 进 程 安 全 审 计 内 核 模 块 与 安 全 审 计 守 护 进 程 这 一 段 我 也 不 是 很 清 楚 其 原 理 ， 所 以 说 错 了 请 谅 解 。 大 概 意 思 就 是 a u d i t d 内 核 模 块 内 核 模 块 与 a u d i t d 守 护 进 程 守 护 进 程 ， 不 是 一 回 事 。 a u d i t d 内 核 模 块 内 核 模 块 主 要 用 来 获 取 审 计 信 息 ， 而 用 户 的 a u d i t d 守 护 进 程 守 护 进 程 主 要 是 从 内 核 模 块 获 取 审 计 信 息 然 后 记 录 。 所 以 如 果 a u d i t d 内 内 核 模 块 核 模 块 没 有 起 动 ， 那 么 a u d i t d 守 护 进 程 守 护 进 程 启 动 了 也 没 有 任 何 用 ， 用 户 定 义 的 临 时 审 计 规 则 或 永 久 审 计 规 则 都 不 会 起 效 果 ， 自 然 也 不 会 记 录 任 何 信 息 （ 但 注 意 ， 这 个 不 会 影 响 到 s y s l o g ， s y s l o g 还 是 会 正 常 记 录 信 息 的 ） 。 我 们 可 以 通 过 命 令 查 看 a u d i t d 内 核 模 块 的 状 态 ： 里 面 的 的 值 即 为 a u d i t d 内 核 模 块 的 状 态 ， 为 0 则 代 表 a u d i t d 内 核 模 块 没 有 启 动 ， 此 时 就 像 上 文 说 的 那 样 ， 系 统 不 会 记 录 任 何 信 息 。 如 果 为 1 ， 则 代 表 a u d i t d 内 核 模 块 正 常 开 启 ， 此 时 可 以 正 常 收 集 信 息 。 如 果 为 2 ， 似 乎 是 代 表 审 计 规 则 被 锁 定 ， 不 能 修 改 升 级 规 则 。 而 当 为 1 但 a u d i t d 守 护 进 程 没 有 开 启 时 ， 内 核 收 集 到 的 信 息 将 会 记 录 到 写 到 中 。 当 然 ， 一 般 情 况 下 不 会 出 现 这 种 状 态 ， 使 用 或 命 令 启 动 或 停 止 a u d i t d 守 护 进 程 时 ， 内 核 的 状 态 和 a u d i t d 守 护 进 程 的 状 态 是 一 致 的 。 也 就 是 s t a r t 时 ， 会 开 启 a u d i t d 守 护 进 程 ， 同 时 a u d i t d 内 核 的 也 会 被 设 为 1 ， s t o p 时 ， 也 一 样 。 除 非 你 使 用 命 令 特 意 去 这 么 做 ： 此 时 ， 就 出 现 了 a u d i t d 内 核 模 块 未 启 动 ， 但 a u d i t d 守 护 进 程 启 动 的 情 况 了 。 2 . 3 .   是 否 开 启 了 安 全 审 计 功 能 是 否 开 启 了 安 全 审 计 功 能 所 以 判 断 是 否 开 启 安 全 审 计 功 能 时 ， 要 顺 带 查 看 一 下 a u d i t d 内 核 模 块 的 状 态 ， 至 于 s y s l o g 是 否 开 启 ， 我 个 人 感 觉 还 是 以 a u d i t d 为 主 ， s y s l o g 开 启 了 很 好 ， 没 开 启 也 无 所 谓 。 2 . 4 .   是 否 覆 盖 到 每 个 用 户 和 是 否 对 重 要 行 为 、 事 件 进 行 审 计 是 否 覆 盖 到 每 个 用 户 和 是 否 对 重 要 行 为 、 事 件 进 行 审 计 我 们 可 以 通 过 查 看 现 在 运 行 着 的 审 计 规 则 （ 默 认 是 无 规 则 ） ： 还 可 以 通 过 查 看 文 件 ， 得 到 写 在 配 置 文 件 中 的 永 久 审 计 规 则 ： a u d i t c t l   - s [ r o o t @ c e n t o s 0 1   ~ ] #   a u d i t c t l   - s A U D I T _ S T A T U S :   e n a b l e d = 1   f l a g = 1   p i d = 3 2 3 2   r a t e _ l i m i t = 0   b a c k l o g _ l i m i t = 3 2 0   l o s t = 0   b a c k l o g = 0 e n a b l e d e n a b l e d e n a b l e d e n a b l e d e n a b l e d / v a r / l o g / m e s s a g e s s e r v i c e   a u d i t d   s t a r t s t o p e n a b l e d a u d i t c t l   - e [ r o o t @ c e n t o s 0 1   ~ ] #   s e r v i c e   a u d i t d   s t o p 停 止   a u d i t d ： [ 确 定 ] [ r o o t @ c e n t o s 0 1   ~ ] #   a u d i t c t l   - e   1 A U D I T _ S T A T U S :   e n a b l e d = 1   f l a g = 1   p i d = 0   r a t e _ l i m i t = 0   b a c k l o g _ l i m i t = 3 2 0   l o s t = 0   b a c k l o g = 0 [ r o o t @ c e n t o s 0 1   ~ ] #   s e r v i c e   a u d i t d   s t a t u s a u d i t d   已 停 a u d i t c t l   - l [ r o o t @ c e n t o s 0 1   ~ ] #   a u d i t c t l   - l N o   r u l e s / e t c / a u d i t / a u d i t . r u l e s [ r o o t @ c e n t o s 0 1   ~ ] #   c a t   / e t c / a u d i t / a u d i t . r u l e s # T h i s   f i l e   c o n t a i n s   t h e   a u d i t c t l   r u l e s   t h a t   a r e   l o a d e d # w h e n e v e r   t h e   a u d i t   d a e m o n   i s   s t a r t e d   v i a   t h e   i n i t s c r i p t s . # T h e   r u l e s   a r e   s i m p l y   t h e   p a r a m e t e r s   t h a t   w o u l d   b e   p a s s e d # t o   a u d i t c t l . # F i r s t   r u l e   -   d e l e t e   a l l
实 际 运 行 的 规 则 和 配 置 文 件 中 写 的 规 则 有 什 么 区 别 吗 ？ 对 于 实 际 运 行 的 规 则 ， 你 可 以 临 时 的 增 加 、 删 除 、 修 改 （ 服 务 重 启 就 恢 复 原 样 ） 。 而 对 于 写 在 配 置 文 件 中 的 规 则 ， 如 果 你 修 改 了 配 置 文 件 却 没 有 重 启 服 务 ， 那 么 你 修 改 的 也 不 会 生 效 。 a u d i t 的 审 计 规 则 大 概 有 两 类 ： 一 类 是 对 文 件 的 监 控 ， 一 类 是 对 系 统 调 用 的 监 控 。 对 于 文 件 ， 可 以 定 义 审 计 规 则 监 控 对 该 文 件 的 读 、 写 、 执 行 等 操 作 ， 一 旦 发 生 ， 就 会 记 录 到 日 志 文 件 中 。 比 如 用 以 下 命 令 对 h o s t s 文 件 的 写 和 属 性 更 改 进 行 监 控 ： 对 于 系 统 调 用 ， 可 以 定 义 审 计 规 则 对 于 命 令 的 调 用 ， 比 如 用 以 下 名 监 控 对 u m a s k 、 c h o w n 命 令 的 调 用 ： 好 ， 对 于 一 个 默 认 的 、 没 有 定 义 审 计 规 则 的 系 统 ， 其 实 还 是 会 记 录 一 些 东 西 的 ， 我 们 可 用 命 令 查 看 总 览 ： 这 里 可 以 看 到 日 志 的 开 始 和 结 束 日 期 ， 以 及 各 类 记 录 的 数 量 。 命 令 有 着 很 多 参 数 ， 如 - x 、 - l 、 - f 、 - c 、 - u 等 ， 可 以 查 看 各 类 记 录 的 具 体 信 息 ， 默 认 情 况 下 会 对 以 下 信 息 进 行 记 录 ： 账 号 修 改 ， 如 使 用 p a s s w d 、 u s e r m o d 等 命 令 ； 用 户 登 陆 ， 包 括 图 形 界 面 的 登 陆 、 远 程 登 录 ， 但 应 该 不 包 括 s u ； 配 置 修 改 ， 但 是 这 个 其 实 比 较 不 清 晰 ， 大 概 用 什 么 方 式 修 改 什 么 服 务 的 配 置 文 件 会 被 记 录 下 来 ， 不 清 楚 ； … … 所 以 ， 默 认 情 况 下 a u d i t d 也 记 录 了 一 些 东 西 ， 也 勉 强 算 是 覆 盖 到 每 个 用 户 和 并 对 重 要 行 为 、 事 件 进 行 审 计 覆 盖 到 每 个 用 户 和 并 对 重 要 行 为 、 事 件 进 行 审 计 了 。 至 于 s y s l o g ， 它 大 概 记 录 的 信 息 如 下 ： 三 、 三 、   测 评 项 测 评 项 b # F i r s t   r u l e   -   d e l e t e   a l l - D # I n c r e a s e   t h e   b u f f e r s   t o   s u r v i v e   s t r e s s   e v e n t s . # M a k e   t h i s   b i g g e r   f o r   b u s y   s y s t e m s - b   3 2 0 # F e e l   f r e e   t o   a d d   b e l o w   t h i s   l i n e .   S e e   a u d i t c t l   m a n   p a g e a u d i t c t l   - w   / e t c / h o s t s   - p   w a [ r o o t @ c e n t o s 0 1   ~ ] #   a u d i t c t l   - a   e x i t , a l w a y s   - S   u m a s k   - S   c h o w n W A R N I N G   -   3 2 / 6 4   b i t   s y s c a l l   m i s m a t c h ,   y o u   s h o u l d   s p e c i f y   a n   a r c h [ r o o t @ c e n t o s 0 1   ~ ] #   a u d i t c t l   - l L I S T _ R U L E S :   e x i t , a l w a y s   s y s c a l l = c h o w n , u m a s k a u r e p o r t   - i S u m m a r y   R e p o r t = = = = = = = = = = = = = = = = = = = = = = R a n g e   o f   t i m e   i n   l o g s :   2 0 1 9 年 0 3 月 1 2 日   0 0 : 5 4 : 3 9 . 0 8 4   -   2 0 1 9 年 0 7 月 2 6 日   1 5 : 3 8 : 0 1 . 5 4 2 S e l e c t e d   t i m e   f o r   r e p o r t :   2 0 1 9 年 0 3 月 1 2 日   0 0 : 5 4 : 3 9   -   2 0 1 9 年 0 7 月 2 6 日   1 5 : 3 8 : 0 1 . 5 4 2 N u m b e r   o f   c h a n g e s   i n   c o n f i g u r a t i o n :   6 7 N u m b e r   o f   c h a n g e s   t o   a c c o u n t s ,   g r o u p s ,   o r   r o l e s :   1 7 2 N u m b e r   o f   l o g i n s :   1 6 2 N u m b e r   o f   f a i l e d   l o g i n s :   7 5 N u m b e r   o f   a u t h e n t i c a t i o n s :   4 7 1 N u m b e r   o f   f a i l e d   a u t h e n t i c a t i o n s :   4 4 2 N u m b e r   o f   u s e r s :   6 N u m b e r   o f   t e r m i n a l s :   3 3 N u m b e r   o f   h o s t   n a m e s :   3 N u m b e r   o f   e x e c u t a b l e s :   3 2 N u m b e r   o f   f i l e s :   3 N u m b e r   o f   A V C ' s :   2 8 N u m b e r   o f   M A C   e v e n t s :   1 5 2 N u m b e r   o f   f a i l e d   s y s c a l l s :   2 6 N u m b e r   o f   a n o m a l y   e v e n t s :   2 6 N u m b e r   o f   r e s p o n s e s   t o   a n o m a l y   e v e n t s :   3 6 N u m b e r   o f   c r y p t o   e v e n t s :   5 7 3 N u m b e r   o f   k e y s :   1 N u m b e r   o f   p r o c e s s   I D s :   2 0 3 6 N u m b e r   o f   e v e n t s :   1 1 5 9 5 a u r e p o r t
3 . 1 .   a u d i t 这 个 ， 可 以 直 接 查 看 a u d i t d 的 日 志 文 件 的 具 体 内 容 ： 里 面 的 信 息 还 是 很 详 细 的 ， 具 体 每 个 字 段 代 表 什 么 意 思 可 看 ： h t t p s : / / b l o g . c s d n . n e t / y o n g y o n g 1 6 9 / a r t i c l e / d e t a i l s / 7 9 0 3 5 6 8 0 反 正 符 合 要 求 应 该 是 没 啥 问 题 的 。 3 . 2 .   s y s l o g 如 果 是 s y s l o g ， 有 些 日 志 比 较 详 细 ， 有 些 不 够 详 细 ， l a s t 命 令 查 询 w t m p 日 志 ， 就 还 算 详 细 吧 ： 四 、 测 评 项 四 、 测 评 项 c 这 里 有 两 个 要 求 ， 一 个 是 对 记 录 进 行 保 护 ， 另 外 一 个 是 备 份 。 4 . 1 .   对 记 录 进 行 保 护 对 记 录 进 行 保 护 这 个 很 简 单 ， 一 个 方 面 直 接 查 看 a u d i t 和 s y s l o g 的 日 志 文 件 的 权 限 即 可 ： 默 认 情 况 下 都 没 有 问 题 ， o t h e r 都 不 会 具 有 写 的 权 限 。 同 时 ， 存 有 日 志 的 目 录 ， o t h e r 也 没 有 写 权 限 （ 即 是 否 有 权 限 删 除 该 目 录 下 的 文 件 ） 。 [ r o o t @ c e n t o s 0 1   ~ ] #   c a t   / v a r / l o g / a u d i t / a u d i t . l o g   |   h e a d   - n   2 t y p e = D A E M O N _ S T A R T   m s g = a u d i t ( 1 5 5 2 3 2 3 2 7 9 . 0 8 4 : 9 1 2 2 ) :   a u d i t d   s t a r t ,   v e r = 2 . 2   f o r m a t = r a w   k e r n e l = 2 . 6 . 3 2 - 4 3 1 . e l 6 . x 8 6 _ 6 4   a u i d = 4 2 9 4 9 6 7 2 9 5   p i d = 1 1 6 5   s u b j = s y s t e m _ u : s y s t e m _ r : a u d i t d _ t : s 0   r e s = t y p e = C O N F I G _ C H A N G E   m s g = a u d i t ( 1 5 5 2 3 2 3 2 7 9 . 2 0 3 : 4 ) :   a u d i t _ b a c k l o g _ l i m i t = 3 2 0   o l d = 6 4   a u i d = 4 2 9 4 9 6 7 2 9 5   s e s = 4 2 9 4 9 6 7 2 9 5   s u b j = s y s t e m _ u : s y s t e m _ r : a u d i t c t l _ t : s 0   r e s = 1 [ r o o t @ c e n t o s 0 1   ~ ] #   l a s t   |   h e a d   - n   2 0 r o o t           p t s / 2                 : 0 . 0                           F r i   J u l   2 6   1 5 : 5 3       s t i l l   l o g g e d   i n r o o t           p t s / 1                 : 0 . 0                           F r i   J u l   2 6   1 4 : 5 1       s t i l l   l o g g e d   i n r o o t           p t s / 0                 : 0 . 0                           F r i   J u l   2 6   1 4 : 4 8       s t i l l   l o g g e d   i n r o o t           t t y 1                   : 0                               F r i   J u l   2 6   1 4 : 4 7       s t i l l   l o g g e d   i n r e b o o t       s y s t e m   b o o t     2 . 6 . 3 2 - 4 3 1 . e l 6 . x   F r i   J u l   2 6   1 4 : 4 7   -   1 5 : 5 6     ( 0 1 : 0 9 ) r o o t           t t y 1                   : 0                               W e d   J u l   1 0   0 9 : 1 2   -   0 9 : 1 4     ( 0 0 : 0 1 ) r e b o o t       s y s t e m   b o o t     2 . 6 . 3 2 - 4 3 1 . e l 6 . x   T u e   J u l     9   1 5 : 4 4   -   0 9 : 1 4     ( 1 7 : 2 9 ) r o o t           p t s / 1                 1 9 2 . 1 6 8 . 9 . 1             W e d   J u l     3   1 3 : 3 6   -   1 1 : 5 9     ( 2 2 : 2 3 ) r o o t           p t s / 0                 : 0 . 0                           W e d   J u l     3   1 3 : 3 5   -   2 2 : 3 4   ( 1 + 0 8 : 5 8 ) r o o t           t t y 1                   : 0                               W e d   J u l     3   1 3 : 3 5   -   2 2 : 3 4   ( 1 + 0 8 : 5 9 ) r e b o o t       s y s t e m   b o o t     2 . 6 . 3 2 - 4 3 1 . e l 6 . x   W e d   J u l     3   1 3 : 3 3   -   2 2 : 3 4   ( 1 + 0 9 : 0 0 ) r o o t           p t s / 1                 1 9 2 . 1 6 8 . 9 . 1             W e d   J u l     3   1 3 : 0 6   -   d o w n       ( 0 0 : 2 6 ) r o o t           p t s / 0                 : 0 . 0                           W e d   J u l     3   1 3 : 0 6   -   1 3 : 3 3     ( 0 0 : 2 6 ) r o o t           t t y 1                   : 0                               W e d   J u l     3   1 3 : 0 4   -   d o w n       ( 0 0 : 2 8 ) r e b o o t       s y s t e m   b o o t     2 . 6 . 3 2 - 4 3 1 . e l 6 . x   W e d   J u l     3   1 3 : 0 3   -   1 3 : 3 3     ( 0 0 : 2 9 ) o r a c l e       p t s / 1                 1 9 2 . 1 6 8 . 2 3 6 . 1         S u n   J u n   3 0   1 9 : 4 6   -   d o w n       ( 0 9 : 5 3 ) r o o t           p t s / 2                 1 9 2 . 1 6 8 . 2 3 6 . 1         S u n   J u n   3 0   1 9 : 0 5   -   d o w n       ( 1 0 : 3 4 ) o r a c l e       p t s / 1                 1 9 2 . 1 6 8 . 2 3 6 . 1         S u n   J u n   3 0   1 6 : 5 2   -   1 9 : 4 6     ( 0 2 : 5 3 ) o r a c l e       p t s / 0                 : 0 . 0                           S u n   J u n   3 0   1 6 : 4 8   -   0 5 : 4 0     ( 1 2 : 5 2 ) o r a c l e       t t y 1                   : 0                               S a t   J u n   2 9   2 2 : 0 2   -   0 5 : 4 0   ( 1 + 0 7 : 3 8 ) [ r o o t @ c e n t o s 0 1   ~ ] #   l s   - l d   / v a r / l o g / a u d i t d r w x r - x - - - .   2   r o o t   r o o t   4 0 9 6   3 月     1 2   0 0 : 5 4   / v a r / l o g / a u d i t [ r o o t @ c e n t o s 0 1   ~ ] #   l s   - l   / v a r / l o g / a u d i t ; 总 用 量   2 5 8 8 - r w - - - - - - - .   1   r o o t   r o o t   2 6 4 3 0 6 7   7 月     2 6   1 5 : 5 0   a u d i t . l o g [ r o o t @ c e n t o s 0 1   ~ ] #   l s   - l d   / v a r / l o g / d r w x r - x r - x .   1 4   r o o t   r o o t   4 0 9 6   7 月     2 6   1 5 : 4 2   / v a r / l o g / [ r o o t @ c e n t o s 0 1   ~ ] #   l s   - l   / v a r / l o g ; 总 用 量   3 7 7 6 - r w - - - - - - - .   1   r o o t   r o o t       6 5 5 0   3 月     1 2   0 0 : 5 3   a n a c o n d a . i f c f g . l o g - r w - - - - - - - .   1   r o o t   r o o t     2 5 0 7 7   3 月     1 2   0 0 : 5 3   a n a c o n d a . l o g - r w - - - - - - - .   1   r o o t   r o o t     4 0 2 2 3   3 月     1 2   0 0 : 5 3   a n a c o n d a . p r o g r a m . l o g - r w - - - - - - - .   1   r o o t   r o o t   1 7 1 8 9 2   3 月     1 2   0 0 : 5 3   a n a c o n d a . s t o r a g e . l o g
另 外 一 方 面 也 要 看 看 日 志 存 储 规 则 ， 看 看 是 如 何 定 义 的 ， 是 否 合 理 ， 至 于 其 中 各 项 的 意 义 ， 大 家 上 网 查 一 查 即 可 。 同 时 ， 也 可 顺 便 看 下 该 文 件 和 目 录 的 权 限 。 - r w - - - - - - - .   1   r o o t   r o o t   1 7 1 8 9 2   3 月     1 2   0 0 : 5 3   a n a c o n d a . s t o r a g e . l o g - r w - - - - - - - .   1   r o o t   r o o t   1 3 2 1 6 7   3 月     1 2   0 0 : 5 3   a n a c o n d a . s y s l o g - r w - - - - - - - .   1   r o o t   r o o t     3 5 0 6 4   3 月     1 2   0 0 : 5 3   a n a c o n d a . x l o g - r w - - - - - - - .   1   r o o t   r o o t   1 1 5 5 9 4   3 月     1 2   0 0 : 5 3   a n a c o n d a . y u m . l o g d r w x r - x - - - .   2   r o o t   r o o t       4 0 9 6   3 月     1 2   0 0 : 5 4   a u d i t - r w - r - - r - -     1   r o o t   r o o t       3 2 1 1   7 月     2 6   1 4 : 4 7   b o o t . l o g - r w - - - - - - -     1   r o o t   u t m p             0   7 月       1   0 3 : 3 8   b t m p - r w - - - - - - - .   1   r o o t   u t m p       1 9 2 0   6 月     2 9   1 9 : 4 7   b t m p - 2 0 1 9 0 7 0 1 d r w x r - x r - x .   2   r o o t   r o o t       4 0 9 6   3 月     1 2   0 0 : 5 8   C o n s o l e K i t - r w - - - - - - -     1   r o o t   r o o t       1 0 2 1   7 月     2 6   1 5 : 5 0   c r o n - r w - - - - - - - .   1   r o o t   r o o t       5 2 9 8   6 月     2 8   1 5 : 1 9   c r o n - 2 0 1 9 0 6 2 8 - r w - - - - - - - .   1   r o o t   r o o t     1 7 8 0 6   6 月     3 0   1 5 : 0 6   c r o n - 2 0 1 9 0 6 3 0 - r w - - - - - - -     1   r o o t   r o o t     2 2 7 1 1   7 月       9   1 6 : 1 7   c r o n - 2 0 1 9 0 7 0 9 - r w - - - - - - -     1   r o o t   r o o t       3 4 0 7   7 月     2 6   1 5 : 4 2   c r o n - 2 0 1 9 0 7 2 6 d r w x r - x r - x .   2   l p       s y s         4 0 9 6   8 月     1 7   2 0 1 3   c u p s - r w - r - - r - -     1   r o o t   r o o t     8 1 5 6 5   7 月     2 6   1 4 : 4 7   d m e s g - r w - r - - r - -     1   r o o t   r o o t     8 1 6 0 0   7 月       9   1 5 : 4 4   d m e s g . o l d - r w - r - - r - - .   1   r o o t   r o o t   3 9 3 8 8 5   3 月     1 2   2 0 : 4 6   d r a c u t . l o g d r w x r w x - - T .   2   r o o t   g d m         4 0 9 6   7 月     2 6   1 4 : 4 7   g d m d r w x - - - - - - .   2   r o o t   r o o t       4 0 9 6   8 月     1 4   2 0 1 3   h t t p d - r w - r - - r - - .   1   r o o t   r o o t   1 4 7 1 6 8   7 月       3   1 3 : 3 6   l a s t l o g d r w x r - x r - x .   2   r o o t   r o o t       4 0 9 6   3 月     3 1   1 5 : 2 0   m a i l - r w - - - - - - -     1   r o o t   r o o t             0   7 月     2 6   1 5 : 4 2   m a i l l o g - r w - - - - - - - .   1   r o o t   r o o t       2 9 1 2   6 月     2 8   1 4 : 3 0   m a i l l o g - 2 0 1 9 0 6 2 8 - r w - - - - - - - .   1   r o o t   r o o t       7 8 6 6   6 月     2 9   2 1 : 5 1   m a i l l o g - 2 0 1 9 0 6 3 0 - r w - - - - - - -     1   r o o t   r o o t       1 5 9 6   7 月       9   1 5 : 4 4   m a i l l o g - 2 0 1 9 0 7 0 9 - r w - - - - - - -     1   r o o t   r o o t         3 5 3   7 月     2 6   1 4 : 4 9   m a i l l o g - 2 0 1 9 0 7 2 6 - r w - - - - - - -     1   r o o t   r o o t         9 2 3   7 月     2 6   1 5 : 5 5   m e s s a g e s - r w - - - - - - - .   1   r o o t   r o o t   1 7 2 2 6 1   6 月     2 8   1 5 : 0 6   m e s s a g e s - 2 0 1 9 0 6 2 8 - r w - - - - - - - .   1   r o o t   r o o t   7 1 8 0 6 1   6 月     3 0   1 5 : 0 2   m e s s a g e s - 2 0 1 9 0 6 3 0 - r w - - - - - - -     1   r o o t   r o o t   4 0 5 0 8 1   7 月       9   1 6 : 1 6   m e s s a g e s - 2 0 1 9 0 7 0 9 - r w - - - - - - -     1   r o o t   r o o t   1 5 3 1 6 0   7 月     2 6   1 5 : 4 1   m e s s a g e s - 2 0 1 9 0 7 2 6 d r w x r - x r - x .   2   n t p     n t p         4 0 9 6   1 1 月   2 4   2 0 1 3   n t p s t a t s - r w - r - - r - - .   1   r o o t   r o o t           8 9   7 月     2 6   1 4 : 4 7   p m - p o w e r s a v e . l o g d r w x - - - - - - .   2   r o o t   r o o t       4 0 9 6   8 月     2 3   2 0 1 0   p p p d r w x r - x r - x .   2   r o o t   r o o t       4 0 9 6   3 月     1 2   1 8 : 3 8   p r e l i n k d r w x r - x r - x .   2   r o o t   r o o t       4 0 9 6   7 月     2 6   1 4 : 4 7   s a d r w x - - - - - - .   3   r o o t   r o o t       4 0 9 6   3 月     1 2   0 0 : 4 4   s a m b a - r w - - - - - - -     1   r o o t   r o o t             0   7 月     2 6   1 5 : 4 2   s e c u r e - r w - - - - - - - .   1   r o o t   r o o t       2 7 0 0   6 月     2 8   1 4 : 3 3   s e c u r e - 2 0 1 9 0 6 2 8 - r w - - - - - - - .   1   r o o t   r o o t     2 0 7 1 4   6 月     2 9   2 2 : 0 2   s e c u r e - 2 0 1 9 0 6 3 0 - r w - - - - - - -     1   r o o t   r o o t       7 3 2 7   7 月       9   1 5 : 4 4   s e c u r e - 2 0 1 9 0 7 0 9 - r w - - - - - - -     1   r o o t   r o o t       3 3 6 4   7 月     2 6   1 4 : 5 1   s e c u r e - 2 0 1 9 0 7 2 6 - r w - - - - - - - .   1   r o o t   r o o t             0   3 月     1 2   0 0 : 5 4   s p i c e - v d a g e n t . l o g - r w - - - - - - -     1   r o o t   r o o t             0   7 月     2 6   1 5 : 4 2   s p o o l e r - r w - - - - - - - .   1   r o o t   r o o t             0   6 月     1 9   1 9 : 1 3   s p o o l e r - 2 0 1 9 0 6 2 8 - r w - - - - - - - .   1   r o o t   r o o t             0   6 月     2 8   1 5 : 1 9   s p o o l e r - 2 0 1 9 0 6 3 0 - r w - - - - - - -     1   r o o t   r o o t             0   6 月     3 0   1 5 : 0 6   s p o o l e r - 2 0 1 9 0 7 0 9 - r w - - - - - - -     1   r o o t   r o o t             0   7 月       9   1 6 : 1 7   s p o o l e r - 2 0 1 9 0 7 2 6 d r w x r - x - - - .   2   r o o t   r o o t       4 0 9 6   1 1 月   2 3   2 0 1 3   s s s d - r w - - - - - - - .   1   r o o t   r o o t     3 2 2 5 6   7 月       3   1 3 : 3 6   t a l l y l o g - r w - r - - r - - .   1   r o o t   r o o t             0   3 月     1 2   0 0 : 5 5   w p a _ s u p p l i c a n t . l o g - r w - r w - r - - .   1   r o o t   u t m p   4 5 1 2 0 0   7 月     2 6   1 5 : 5 3   w t m p - r w - r - - r - -     1   r o o t   r o o t     5 3 6 9 2   7 月     2 6   1 5 : 5 3   X o r g . 0 . l o g - r w - r - - r - -     1   r o o t   r o o t     5 4 0 9 4   7 月     1 0   0 9 : 1 4   X o r g . 0 . l o g . o l d - r w - r - - r - - .   1   r o o t   r o o t     6 0 1 9 3   6 月     2 8   1 6 : 0 2   X o r g . 1 . l o g - r w - r - - r - - .   1   r o o t   r o o t     5 1 1 6 4   4 月       5   0 3 : 1 6   X o r g . 1 . l o g . o l d - r w - r - - r - - .   1   r o o t   r o o t     5 7 8 0 1   6 月     2 8   1 6 : 0 9   X o r g . 2 . l o g - r w - r - - r - - .   1   r o o t   r o o t     3 8 3 9 8   4 月       5   0 3 : 1 0   X o r g . 2 . l o g . o l d - r w - r - - r - - .   1   r o o t   r o o t     5 9 1 6 0   6 月     2 8   2 1 : 3 4   X o r g . 3 . l o g - r w - r - - r - - .   1   r o o t   r o o t     4 0 2 3 3   3 月     2 8   1 9 : 0 0   X o r g . 3 . l o g . o l d - r w - r - - r - - .   1   r o o t   r o o t     6 6 9 6 6   6 月     2 8   2 1 : 3 4   X o r g . 4 . l o g - r w - r - - r - - .   1   r o o t   r o o t     4 0 7 5 4   6 月     2 8   2 1 : 3 4   X o r g . 5 . l o g - r w - r - - r - - .   1   r o o t   r o o t     3 3 5 8 4   3 月     1 2   0 0 : 5 6   X o r g . 9 . l o g - r w - - - - - - - .   1   r o o t   r o o t       2 8 8 7   6 月     2 8   1 6 : 0 0   y u m . l o g [ r o o t @ c e n t o s 0 1   ~ ] #   c a t   / e t c / a u d i t / a u d i t d . c o n f ; # # T h i s   f i l e   c o n t r o l s   t h e   c o n f i g u r a t i o n   o f   t h e   a u d i t   d a e m o n # l o g _ f i l e   =   / v a r / l o g / a u d i t / a u d i t . l o g l o g _ f o r m a t   =   R A W l o g _ g r o u p   =   r o o t p r i o r i t y _ b o o s t   =   4 f l u s h   =   I N C R E M E N T A L f r e q   =   2 0 n u m _ l o g s   =   5 d i s p _ q o s   =   l o s s y d i s p a t c h e r   =   / s b i n / a u d i s p d
4 . 2 .   定 期 备 份 定 期 备 份 定 期 备 份 一 般 是 指 将 日 志 推 送 至 日 志 服 务 器 等 设 备 进 行 备 份 ， 所 以 如 果 对 方 说 有 该 类 设 备 ， 就 去 查 看 相 关 配 置 以 及 是 否 存 在 实 际 的 备 份 的 日 志 文 件 即 可 。 如 果 对 方 说 是 手 动 定 期 备 份 的 话 ， 这 个 嘛 ， 就 要 看 你 自 己 怎 么 判 断 了 。 五 、 测 评 项 五 、 测 评 项 d 一 方 面 验 证 即 可 ， 另 一 方 面 可 以 查 看 s h e l l 脚 本 里 是 如 何 设 置 对 权 限 进 行 判 断 的 ： d i s p a t c h e r   =   / s b i n / a u d i s p d n a m e _ f o r m a t   =   N O N E # # n a m e   =   m y d o m a i n m a x _ l o g _ f i l e   =   6 m a x _ l o g _ f i l e _ a c t i o n   =   R O T A T E s p a c e _ l e f t   =   7 5 s p a c e _ l e f t _ a c t i o n   =   S Y S L O G a c t i o n _ m a i l _ a c c t   =   r o o t a d m i n _ s p a c e _ l e f t   =   5 0 a d m i n _ s p a c e _ l e f t _ a c t i o n   =   S U S P E N D d i s k _ f u l l _ a c t i o n   =   S U S P E N D d i s k _ e r r o r _ a c t i o n   =   S U S P E N D # # t c p _ l i s t e n _ p o r t   = t c p _ l i s t e n _ q u e u e   =   5 t c p _ m a x _ p e r _ a d d r   =   1 # # t c p _ c l i e n t _ p o r t s   =   1 0 2 4 - 6 5 5 3 5 t c p _ c l i e n t _ m a x _ i d l e   =   0 e n a b l e _ k r b 5   =   n o k r b 5 _ p r i n c i p a l   =   a u d i t d # # k r b 5 _ k e y _ f i l e   =   / e t c / a u d i t / a u d i t . k e y [ r o o t @ c e n t o s 0 1   ~ ] #   l s   - l   / e t c / a u d i t 总 用 量   1 2 - r w - r - - - - - .   1   r o o t   r o o t   7 0 1   6 月     2 2   2 0 1 2   a u d i t d . c o n f - r w - r - - - - - .   1   r o o t   r o o t   3 7 4   4 月       8   2 3 : 4 7   a u d i t . r u l e s - r w - r - - - - - .   1   r o o t   r o o t   3 8 9   4 月       8   2 3 : 4 6   a u d i t . r u l e s ~ [ r o o t @ c e n t o s 0 1   ~ ] #   l s   - l d   / e t c / a u d i t d r w x r - x - - - .   2   r o o t   r o o t   4 0 9 6   4 月       8   2 3 : 4 7   / e t c / a u d i t [ r o o t @ c e n t o s 0 1   ~ ] # c a t   / e t c / r c . d / i n i t . d / a u d i t d # ! / b i n / b a s h # # a u d i t d                 T h i s   s t a r t s   a n d   s t o p s   a u d i t d # # c h k c o n f i g :   2 3 4 5   1 1   8 8 # d e s c r i p t i o n :   T h i s   s t a r t s   t h e   L i n u x   A u d i t i n g   S y s t e m   D a e m o n ,   #                           w h i c h   c o l l e c t s   s e c u r i t y   r e l a t e d   e v e n t s   i n   a   d e d i c a t e d   #                           a u d i t   l o g .   I f   t h i s   d a e m o n   i s   t u r n e d   o f f ,   a u d i t   e v e n t s   #                           w i l l   b e   s e n t   t o   s y s l o g . # # p r o c e s s n a m e :   / s b i n / a u d i t d # c o n f i g :   / e t c / s y s c o n f i g / a u d i t d # c o n f i g :   / e t c / a u d i t / a u d i t d . c o n f # p i d f i l e :   / v a r / r u n / a u d i t d . p i d # # R e t u r n   v a l u e s   a c c o r d i n g   t o   L S B   f o r   a l l   c o m m a n d s   b u t   s t a t u s : # 0   -   s u c c e s s # 1   -   g e n e r i c   o r   u n s p e c i f i e d   e r r o r # 2   -   i n v a l i d   o r   e x c e s s   a r g u m e n t ( s ) # 3   -   u n i m p l e m e n t e d   f e a t u r e   ( e . g .   " r e l o a d " ) # 4   -   i n s u f f i c i e n t   p r i v i l e g e # 5   -   p r o g r a m   i s   n o t   i n s t a l l e d # 6   -   p r o g r a m   i s   n o t   c o n f i g u r e d # 7   -   p r o g r a m   i s   n o t   r u n n i n g # P A T H = / s b i n : / b i n : / u s r / b i n : / u s r / s b i n p r o g = " a u d i t d " # S o u r c e   f u n c t i o n   l i b r a r y . .   / e t c / i n i t . d / f u n c t i o n s # A l l o w   a n y o n e   t o   r u n   s t a t u s
# A l l o w   a n y o n e   t o   r u n   s t a t u s i f   [   " $ 1 "   =   " s t a t u s "   ]   ;   t h e n         s t a t u s   $ p r o g         R E T V A L = $ ?         e x i t   $ R E T V A L f i # C h e c k   t h a t   w e   a r e   r o o t   . . .   s o   n o n - r o o t   u s e r s   s t o p   h e r e t e s t   $ E U I D   =   0     | |     e x i t   4 # C h e c k   c o n f i g t e s t   - f   / e t c / s y s c o n f i g / a u d i t d   & &   .   / e t c / s y s c o n f i g / a u d i t d R E T V A L = 0 s t a r t ( ) {         t e s t   - x   / s b i n / a u d i t d     | |   e x i t   5         t e s t   - f   / e t c / a u d i t / a u d i t d . c o n f     | |   e x i t   6         e c h o   - n   $ " S t a r t i n g   $ p r o g :   " # L o c a l i z a t i o n   f o r   a u d i t d   i s   c o n t r o l l e d   i n   / e t c / s y n c o n f i g / a u d i t d         i f   [   - z   " $ A U D I T D _ L A N G "   - o   " $ A U D I T D _ L A N G "   =   " n o n e "   - o   " $ A U D I T D _ L A N G "   =   " N O N E "   ] ;   t h e n                 u n s e t   L A N G   L C _ T I M E   L C _ A L L   L C _ M E S S A G E S   L C _ N U M E R I C   L C _ M O N E T A R Y   L C _ C O L L A T E         e l s e                 L A N G = " $ A U D I T D _ L A N G "                 L C _ T I M E = " $ A U D I T D _ L A N G "                 L C _ A L L = " $ A U D I T D _ L A N G "                 L C _ M E S S A G E S = " $ A U D I T D _ L A N G "                 L C _ N U M E R I C = " $ A U D I T D _ L A N G "                 L C _ M O N E T A R Y = " $ A U D I T D _ L A N G "                 L C _ C O L L A T E = " $ A U D I T D _ L A N G "                 e x p o r t   L A N G   L C _ T I M E   L C _ A L L   L C _ M E S S A G E S   L C _ N U M E R I C   L C _ M O N E T A R Y   L C _ C O L L A T E         f i         u n s e t   H O M E   M A I L   U S E R   U S E R N A M E         d a e m o n   $ p r o g   " $ E X T R A O P T I O N S "         R E T V A L = $ ?         e c h o         i f   t e s t   $ R E T V A L   =   0   ;   t h e n                 t o u c h   / v a r / l o c k / s u b s y s / a u d i t d                 # L o a d   t h e   d e f a u l t   r u l e s                 t e s t   - f   / e t c / a u d i t / a u d i t . r u l e s   & &   / s b i n / a u d i t c t l   - R   / e t c / a u d i t / a u d i t . r u l e s   > / d e v / n u l l         f i         r e t u r n   $ R E T V A L } s t o p ( ) {         e c h o   - n   $ " S t o p p i n g   $ p r o g :   "         k i l l p r o c   $ p r o g         R E T V A L = $ ?         e c h o         r m   - f   / v a r / l o c k / s u b s y s / a u d i t d         # R e m o v e   w a t c h e s   s o   s h u t d o w n   w o r k s   c l e a n l y         i f   t e s t   x " $ A U D I T D _ C L E A N _ S T O P "   ! =   " x "   ;   t h e n                 i f   t e s t   " ` e c h o   $ A U D I T D _ C L E A N _ S T O P   |   t r   ' N O '   ' n o ' ` "   ! =   " n o "                 t h e n                         / s b i n / a u d i t c t l   - D   > / d e v / n u l l                 f i         f i         i f   t e s t   x " $ A U D I T D _ S T O P _ D I S A B L E "   ! =   " x "   ;   t h e n                 i f   t e s t   " ` e c h o   $ A U D I T D _ S T O P _ D I S A B L E   |   t r   ' N O '   ' n o ' ` "   ! =   " n o "                 t h e n                         / s b i n / a u d i t c t l   - e   0   > / d e v / n u l l                 f i         f i         r e t u r n   $ R E T V A L } r e l o a d ( ) {         t e s t   - f   / e t c / a u d i t / a u d i t d . c o n f     | |   e x i t   6         e c h o   - n   $ " R e l o a d i n g   c o n f i g u r a t i o n :   "         k i l l p r o c   $ p r o g   - H U P         R E T V A L = $ ?         e c h o         r e t u r n   $ R E T V A L } r o t a t e ( ) {         e c h o   - n   $ " R o t a t i n g   l o g s :   "         k i l l p r o c   $ p r o g   - U S R 1         R E T V A L = $ ?
注 意 开 头 的 这 一 段 ： 也 就 是 说 e u i d 只 要 不 是 0 （ 不 具 备 r o o t 权 限 ） ， 那 么 就 没 办 法 继 续 执 行 代 码 ， 也 自 然 做 不 了 什 么 事 情 了 。 六 、 最 后 六 、 最 后 其 实 等 级 保 护 2 . 0 这 部 分 和 1 . 0 基 本 上 没 什 么 区 别 ， 个 人 觉 得 想 要 测 评 得 比 较 完 整 、 有 力 度 ， 还 是 要 看 自 己 对 测 评 项 的 理 解 ， 以 及 如 何 在 具 体 的 测 评 过 程 中 去 落 实 。 这 就 需 要 对 测 评 的 目 标 有 一 定 的 了 解 ， 否 则 便 无 从 下 手 。 所 以 我 的 文 章 基 本 上 就 光 描 述 相 关 的 技 术 了 ， 没 怎 么 说 具 体 怎 么 测 评 。 但 是 我 觉 得 技 术 搞 明 白 了 ， 百 分 之 9 9 的 工 作 就 都 完 成 了 。 剩 下 的 ， 面 对 测 评 要 求 ， 在 实 际 测 评 过 程 中 大 家 自 然 能 做 出 合 适 的 取 舍 ， 使 用 相 应 的 技 术 作 为 测 评 支 撑 。 要 不 然 ， 就 拿 着 初 级 教 程 或 测 评 要 求 ， 在 啥 都 不 懂 的 情 况 下 一 条 条 的 套 ， 那 只 不 过 是 在 走 过 场 拉 低 等 保 的 水 准 （ 虽 然 其 实 也 没 多 少 水 准 啦 ） 。 另 外 ， 在 安 全 管 理 中 心 安 全 管 理 中 心 中 也 有 关 于 审 计 的 内 容 ， 那 部 分 还 是 放 到 另 外 的 文 章 里 去 写 吧 。 最 后 附 上 一 个 很 有 意 思 的 Q Q 聊 天 截 图 ， 不 知 大 家 如 何 看 ：         e c h o         r e t u r n   $ R E T V A L } r e s u m e ( ) {         e c h o   - n   $ " R e s u m i n g   l o g g i n g :   "         k i l l p r o c   $ p r o g   - U S R 2         R E T V A L = $ ?         e c h o         r e t u r n   $ R E T V A L } r e s t a r t ( ) {         t e s t   - f   / e t c / a u d i t / a u d i t d . c o n f     | |   e x i t   6         s t o p         s t a r t } c o n d r e s t a r t ( ) {         [   - e   / v a r / l o c k / s u b s y s / a u d i t d   ]   & &   r e s t a r t         r e t u r n   0 } # S e e   h o w   w e   w e r e   c a l l e d . c a s e   " $ 1 "   i n         s t a r t )         s t a r t         ; ;         s t o p )         s t o p         ; ;         r e s t a r t )         r e s t a r t         ; ;         r e l o a d | f o r c e - r e l o a d )         r e l o a d         ; ;         r o t a t e )         r o t a t e         ; ;         r e s u m e )         r e s u m e         ; ;         c o n d r e s t a r t | t r y - r e s t a r t )         c o n d r e s t a r t         ; ;         * )         e c h o   $ " U s a g e :   $ 0   { s t a r t | s t o p | s t a t u s | r e s t a r t | c o n d r e s t a r t | t r y - r e s t a r t | r e l o a d | f o r c e - r e l o a d | r o t a t e | r e s u m e } "         R E T V A L = 3 e s a c e x i t   $ R E T V A L # C h e c k   t h a t   w e   a r e   r o o t   . . .   s o   n o n - r o o t   u s e r s   s t o p   h e r e t e s t   $ E U I D   =   0     | |     e x i t   4
 
 
 
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-2 22:47 , Processed in 1.343124 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表