系统审计规则与安全事件关联分析<\/strong><\/p>

基础概念<\/strong>
系统审计规则是操作系统内置的审计子系统（如Linux的auditd、Windows的ETW）的配置策略，用于记录用户操作、进程行为、文件访问等事件。安全事件关联分析则是对审计日志进行聚合、关联，识别跨事件、跨主机的潜在攻击模式。<\/p> <\/li>

审计规则配置核心要素<\/strong><\/p>

审计对象<\/strong>：需监控的目标，如关键文件（\/etc\/passwd）、目录、系统调用（如open、kill）、用户或用户组。<\/li>
触发条件<\/strong>：定义记录事件的具体场景，例如“对\/etc\/shadow的写入失败”“root用户执行sudo命令”。<\/li>
日志字段<\/strong>：确保每条审计记录包含时间戳、主体用户、操作对象、结果（成功\/失败）、进程ID等关键信息。<\/li> <\/ul> <\/li>

审计规则部署示例（以Linux auditd为例）<\/strong><\/p>

监控敏感文件访问：
auditctl -w \/etc\/passwd -p wa -k user_cred_change <\/code><\/pre> 解释：监控对\/etc\/passwd的写入（w）和属性更改（a），并打上标签“user_cred_change”。<\/li> 监控特权命令执行： auditctl -a always,exit -F arch=b64 -S execve -k sudo_exec <\/code><\/pre> 解释：记录所有64位程序的执行事件，重点关注通过sudo运行的命令。<\/li> <\/ul> <\/li> 日志规范化与集中收集<\/strong><\/p> 通过syslog或专用代理（如Wazuh Agent）将分散的审计日志实时发送至中央日志服务器，避免本地篡改，并统一为结构化格式（如JSON）。<\/li> <\/ul> <\/li> 安全事件关联分析实践<\/strong><\/p> 单主机关联<\/strong>：例：在同一会话中连续出现“认证失败→敏感文件读取→异常进程创建”，可能为入侵提权链。<\/li> 多主机关联<\/strong>：例：多台主机在短时间内出现相同用户的异常登录，可能为横向移动攻击。<\/li> 工具辅助<\/strong>：使用SIEM系统（如Splunk、ELK Stack）或专用关联引擎，通过规则或机器学习模型自动检测威胁模式。<\/li> <\/ul> <\/li> 加固建议<\/strong><\/p> 审计规则应遵循最小化原则，避免记录过多无关事件导致日志爆炸。<\/li> 定期测试审计规则有效性，确保关键攻击路径被覆盖。<\/li> 对关联分析规则持续优化，结合威胁情报更新检测逻辑。<\/li> <\/ul> <\/li> <\/ol>