Linux审计日志（auditd）采集与威胁狩猎分析<\/strong><\/p>

第一步：理解auditd及其核心定位<\/strong>
Linux审计子系统（auditd）是内核级别的日志记录框架，它不同于常见的syslog。其核心定位是监控和记录系统调用以及特定的文件访问<\/strong>，能够提供谁、在什么时候、对什么资源、执行了什么操作<\/strong>的详细、不可篡改的踪迹。这对于满足安全合规（如PCI-DSS, GDPR）和进行深度安全调查至关重要。<\/p>

第二步：掌握auditd的核心组件与工作流<\/strong><\/p>

内核组件<\/strong>：当应用程序进行系统调用（如open, execute, connect）时，内核的审计钩子会捕获此事件。<\/li>
用户空间守护进程（auditd）<\/strong>：负责接收内核传来的审计消息，并根据配置规则（\/etc\/audit\/audit.rules<\/code>）决定哪些事件需要被记录。<\/li>
日志文件（\/var\/log\/audit\/audit.log）<\/strong>：auditd将格式化后的事件写入此二进制文件（或通过插件发送）。其格式为一系列“type=字段<\/code>”的键值对，结构化程度高。<\/li>
控制工具（auditctl）<\/strong>：用于在运行时动态添加或删除审计规则，控制守护进程行为。<\/li> <\/ol> 第三步：学习核心审计规则配置<\/strong> 审计规则是控制记录内容的关键，主要分为：<\/p> 控制规则<\/strong>：配置守护进程的全局参数，如日志文件大小、失败处理动作。<\/li> 文件系统规则（路径监控）<\/strong>：使用-w<\/code>参数监控特定文件或目录的读写、属性更改等。例如：-w \/etc\/passwd -p wa -k identity_access<\/code>（监控对\/etc\/passwd的写入和属性修改，并打上“identity_access”标签）。<\/li> 系统调用规则<\/strong>：使用-a<\/code>参数，基于进程的ID、路径、调用的系统调用号等条件来过滤记录哪些系统调用事件。这是最强大和复杂的部分，常用于监控特定程序的行为。<\/li> <\/ol> 第四步：解析audit.log的典型事件与字段<\/strong> 理解日志格式是分析的基础。一个典型事件（如文件打开）包含多个记录，关键字段包括：<\/p> type<\/code>：事件类型（如SYSCALL<\/code>, PATH<\/code>, CWD<\/code>, PROCTITLE<\/code>）。<\/li> msg<\/code>：时间戳和唯一ID。<\/li> syscall<\/code>：系统调用号（如2=open, 257=openat）。<\/li> exe<\/code>：触发系统调用的可执行文件完整路径。<\/li> pid<\/code>, ppid<\/code>, uid<\/code>, gid<\/code>：进程、父进程ID及用户\/组ID。<\/li> comm<\/code>：命令行简称。<\/li> proctitle<\/code>：完整的命令行参数（可能被编码）。<\/li> path<\/code>：操作涉及的文件路径。<\/li> key<\/code>：关联用户定义的字符串（在规则中通过-k<\/code>设置），用于快速过滤相关事件。<\/li> <\/ul> 第五步：实施采集与集中化<\/strong> 与已讲过的集中化架构对接：<\/p> 本地采集<\/strong>：使用ausearch<\/code>、aureport<\/code>等工具进行本地查询和报告，但长期分析需集中化。<\/li> 代理采集<\/strong>：在主机上部署日志采集代理（如Filebeat, Fluentd, OSSEC agent）。配置代理读取\/var\/log\/audit\/audit.log<\/code>文件。<\/li> 处理与转发<\/strong>：代理通常配备auditd日志解析模块（如Filebeat的auditd<\/code> module），能将二进制audit日志解析为JSON等结构化格式，然后通过已学的分布式日志聚合架构<\/strong>（如Kafka）转发到中心平台（如Elasticsearch, Splunk）。<\/li> <\/ol> 第六步：开展基于auditd的威胁狩猎与分析<\/strong> 这是该词条的高级应用，利用auditd的细粒度数据进行主动威胁发现：<\/p> 异常进程行为检测<\/strong>：建立进程执行基线。狩猎规则示例：寻找由非常规父进程（如web服务器启动bash）启动的shell进程（exe="\/bin\/bash"<\/code>），或查找mmap<\/code>、execve<\/code>调用异常的程序。<\/li> 敏感文件访问监控<\/strong>：利用文件系统规则监控关键文件（如\/etc\/shadow<\/code>, ~\/.ssh\/<\/code>）。分析非授权UID对它们的读取或写入尝试。<\/li> 权限提升与持久化检测<\/strong>：监控对\/etc\/passwd<\/code>、\/etc\/sudoers<\/code>的写入，监控setuid\/setgid<\/code>位设置事件。寻找通过cron、systemd服务或启动脚本建立的异常持久化机制（监控对\/etc\/cron.*\/<\/code>、\/etc\/systemd\/system\/<\/code>的写入）。<\/li> 网络隐蔽通道狩猎<\/strong>：虽然网络流量日志有专门分析，但auditd可监控socketcall<\/code>、connect<\/code>、bind<\/code>等系统调用，结合exe<\/code>路径，发现未经授权或隐藏的网络连接行为（如反弹shell）。<\/li> 关联分析<\/strong>：将auditd数据与Windows事件日志<\/strong>、网络流量日志<\/strong>在SIEM中关联。例如，一次成功的SSH登录（来自网络日志）后，该用户立即访问了敏感数据库文件（auditd日志），形成攻击链条分析。<\/li> <\/ol>