Linux: "Кто трогал этот файл?" Настраиваем auditd — ваш черный ящик

fail2ban блокирует атаки. auditd — записывает всё, что происходит в системе. Это "бортовой самописец", который нужен для любого серьезного расследования инцидентов (IR).

auditd позволяет вам поставить "жучок" на любой файл, системный вызов или событие.

План внедрения "на пальцах":

1. Установка: sudo apt install auditd audispd-plugins (Ubuntu/Debian)

2. Настройка правил: Правила — это "что слушать". Они живут в /etc/audit/rules.d/. Создайте sudo nano /etc/audit/rules.d/99-custom.rules

Ini, TOML

# --- 99-custom.rules ---

# 1. Отслеживать ЛЮБЫЕ изменения в /etc/passwd и /etc/shadow
-w /etc/passwd -p wa -k 'identity_changes'
-w /etc/shadow -p wa -k 'identity_changes'

# 2. Отслеживать изменения в конфиге SSH
-w /etc/ssh/sshd_config -p wa -k 'ssh_config_changes'

# 3. Отслеживать вход пользователей с правами root (uid=0)
-a always,exit -F arch=b64 -S execve -F uid=0 -k 'root_activity'

# -w = watch file, -p wa = on write/attribute change, -k = key (для поиска)

3. Перезапуск: sudo systemctl restart auditd

4. Поиск событий: ausearch — это ваш grep для логов аудита.

Bash

# Показать все события, помеченные нашим ключом 'identity_changes'
sudo ausearch -k 'identity_changes'

# Показать, что делал root
sudo ausearch -k 'root_activity' | sudo aureport -f -i

Взгляд архитектора: auditd — это не "просто логи". Это доказательная база для ИБ. Архитектор не просто включает его, он интегрирует его (audispd) с централизованным SIEM (Splunk, ELK). Когда auditd на 100 серверах шлет события в одну точку, вы можете в реальном времени видеть, как атака (например, Lateral Movement) движется по вашей сети.

#linux #security #auditd #sre #cybersecurity #гайд #команды