主机日志审计配置<\/strong><\/p>

主机日志审计配置是记录和分析系统、应用程序及用户活动产生的日志数据，以支持安全监控、事件调查和合规性要求的过程。其核心目标是确保关键操作的可追溯性。<\/p>

第一步：理解日志的来源与类型<\/strong>
主机日志主要来自：<\/p>

系统日志<\/strong>：记录内核、系统服务（如SSH、Cron）的启动、运行状态和错误信息。在Linux中通常由syslog<\/code>\/rsyslog<\/code>\/systemd-journald<\/code>管理，在Windows中为事件日志。<\/li>
安全日志<\/strong>：记录与安全相关的事件，如登录成功\/失败、权限变更、策略更改。这是审计的重点。<\/li>
应用日志<\/strong>：由运行在主机上的应用程序（如Web服务器、数据库）生成，记录其访问和错误信息。<\/li> <\/ol> 第二步：配置日志采集与集中化<\/strong><\/p> 启用并配置本地审计策略<\/strong>： Linux（auditd）<\/strong>：配置\/etc\/audit\/auditd.conf<\/code>定义日志轮替规则，通过\/etc\/audit\/rules.d\/audit.rules<\/code>文件定义具体审计规则（如监控特定文件访问、系统调用）。<\/li> Windows<\/strong>：使用“本地安全策略”或auditpol<\/code>命令，启用对“账户登录事件”、“对象访问”、“策略更改”等类别的“成功\/失败”审计。<\/li> <\/ul> <\/li> 配置日志转发（集中化）<\/strong>：为防止本地日志被篡改或丢失，需将日志发送到安全的远程日志服务器（如SIEM系统）。 Linux<\/strong>：配置rsyslog<\/code> (\/etc\/rsyslog.conf<\/code>) 或 syslog-ng<\/code>，使用 *.* @远程服务器IP<\/code> 语法转发。<\/li> 通用<\/strong>：部署轻量级代理（如Fluentd、Beats）进行更结构化、可靠的日志收集与传输。<\/li> <\/ul> <\/li> <\/ol> 第三步：定义关键的审计事件与日志内容<\/strong> 确保日志记录足够详细以支持分析，关键事件包括：<\/p> 身份验证事件<\/strong>：所有用户的登录、注销、特权提升（如sudo使用）尝试及其结果。<\/li> 对象访问事件<\/strong>：对敏感文件、目录（如包含配置、密码的文件）的读、写、删除、权限变更操作。<\/li> 系统变更事件<\/strong>：系统启动\/关闭、服务安装\/卸载、软件更新、防火墙规则修改、计划任务变更。<\/li> 进程活动<\/strong>：关键或特权进程的启动、执行参数、结束。<\/li> <\/ol> 第四步：实施日志保护与完整性保障<\/strong><\/p> 文件权限<\/strong>：设置日志文件仅允许root或指定管理账户读写，防止普通用户篡改或清除。<\/li> 即时传输<\/strong>：配置日志产生后尽快转发至中央服务器，减少本地驻留时间。<\/li> 完整性校验<\/strong>：使用技术手段（如数字签名、将日志写入只读介质、或使用带完整性保护的日志系统）确保日志不被篡改。<\/li> <\/ol> 第五步：制定日志管理策略与审计分析<\/strong><\/p> 保留策略<\/strong>：根据合规性要求（如PCI DSS要求至少保留一年），定义日志的保留时长和归档策略。<\/li> 存储与轮替<\/strong>：配置日志自动轮替（如logrotate），防止磁盘被写满，并确保旧日志被安全归档。<\/li> 监控与分析<\/strong>：建立对日志的常态化监控，利用SIEM工具设置告警规则（如针对多次失败登录、可疑进程创建），并定期进行人工审查和深度分析，以发现潜在威胁。<\/li> <\/ol>