مقدمه

یکی از مهم‌ترین ابزارهای مانیتورینگ امنیتی در لینوکس Auditd (Linux Audit Daemon) است. برخلاف ابزارهایی مانند RKHunter یا Chkrootkit که به دنبال Rootkit و بدافزار هستند، Auditd وظیفه ثبت و گزارش فعالیت‌های سیستم را بر عهده دارد.

با Auditd می‌توانید بررسی کنید:

• چه کسی فایلی را حذف کرده است.
• چه کسی فایل مهمی را ویرایش کرده است.
• چه زمانی یک کاربر وارد سیستم شده است.
• چه دستوری توسط یک کاربر اجرا شده است.
• چه زمانی Permission یا Owner یک فایل تغییر کرده است.
• چه تغییراتی روی فایل‌های حساس سیستم انجام شده است.

به همین دلیل، Auditd یکی از مهم‌ترین ابزارهای Incident Response و Digital Forensics در لینوکس محسوب می‌شود.

Auditd چیست؟

Auditd سرویس ثبت وقایع امنیتی لینوکس است.

این ابزار تمام رویدادهای تعریف‌شده را ثبت کرده و امکان جستجو و تحلیل آن‌ها را در آینده فراهم می‌کند.

نصب Auditd

Ubuntu و Debian

sudo apt update

sudo apt install auditd audispd-plugins -y

AlmaLinux / Rocky Linux / RHEL

sudo dnf install audit audit-libs -y

فعال کردن سرویس

sudo systemctl enable auditd

sudo systemctl start auditd

بررسی وضعیت سرویس

sudo systemctl status auditd

اگر سرویس فعال باشد، وضعیت آن باید active (running) باشد.

بررسی نسخه

auditctl -v

فایل‌های مهم Auditd

فایل تنظیمات اصلی:

/etc/audit/auditd.conf

قوانین مانیتورینگ:

/etc/audit/rules.d/

فایل لاگ:

/var/log/audit/audit.log

مشاهده لاگ‌ها

برای مشاهده آخرین رویدادها:

sudo tail -100 /var/log/audit/audit.log

یا:

sudo less /var/log/audit/audit.log

مشاهده قوانین فعال

sudo auditctl -l

در ابتدای نصب معمولاً خروجی خالی یا شامل چند قانون پیش‌فرض خواهد بود.

مانیتور کردن یک فایل

برای مثال فایل SSH:

sudo auditctl -w /etc/ssh/sshd_config -p wa -k ssh_config

پارامترها:

• w → مانیتور فایل
• p wa → ثبت عملیات Write و Attribute Change
• k → نام قانون برای جستجوی آسان

مانیتور کردن فایل passwd

sudo auditctl -w /etc/passwd -p wa -k passwd_changes

مانیتور کردن فایل sudoers

sudo auditctl -w /etc/sudoers -p wa -k sudoers_changes

مانیتور کردن پوشه وب‌سایت

sudo auditctl -w /var/www/html -p wa -k website

مشاهده رویدادها

برای مشاهده تغییرات مربوط به فایل SSH:

sudo ausearch -k ssh_config

برای فایل passwd:

sudo ausearch -k passwd_changes

مشاهده رویدادهای امروز

sudo ausearch -ts today

مشاهده Login کاربران

sudo ausearch -m USER_LOGIN

مشاهده اجرای دستورات

sudo ausearch -m EXECVE

این دستور یکی از کاربردی‌ترین قابلیت‌های Auditd است و فرمان‌های اجراشده را نمایش می‌دهد.

مشاهده تغییرات فایل

برای مثال:

sudo ausearch -f /etc/passwd

خلاصه رویدادها

sudo aureport

گزارش Loginها

sudo aureport --login

گزارش احراز هویت

sudo aureport --auth

گزارش فایل‌ها

sudo aureport --file

گزارش اجرای دستورات

sudo aureport --exec

حذف قوانین موقت

sudo auditctl -D

دائمی کردن قوانین

قوانینی که با auditctl اضافه می‌شوند، پس از ریبوت حذف خواهند شد.

برای دائمی کردن آن‌ها، فایل جدیدی ایجاد کنید:

sudo nano /etc/audit/rules.d/custom.rules

مثال:

-w /etc/passwd -p wa -k passwd_changes
-w /etc/sudoers -p wa -k sudoers_changes
-w /etc/ssh/sshd_config -p wa -k ssh_config

سپس قوانین را بارگذاری کنید:

sudo augenrules --load

یا سرویس را ریستارت کنید:

sudo systemctl restart auditd

چه فایل‌هایی را مانیتور کنیم؟

بهتر است حداقل این فایل‌ها را تحت نظر داشته باشید:

• /etc/passwd
• /etc/shadow
• /etc/group
• /etc/gshadow
• /etc/sudoers
• /etc/ssh/sshd_config
• /etc/crontab
• /var/spool/cron/
• /var/www/

تفاوت Auditd با AIDE

تفاوت Auditd با RKHunter

بهترین روش‌ها

• فقط فایل‌های مهم را مانیتور کنید.
• قوانین غیرضروری ایجاد نکنید تا حجم لاگ‌ها بیش از حد افزایش پیدا نکند.
• فایل‌های لاگ را به‌صورت دوره‌ای بررسی کنید.
• قوانین را در مسیر /etc/audit/rules.d/ نگهداری کنید.
• از Auditd در کنار AIDE، Fail2Ban و RKHunter استفاده کنید.

اشتباهات رایج

• مانیتور کردن کل فایل‌سیستم
• فراموش کردن دائمی کردن قوانین
• پر شدن فضای دیسک به علت بررسی نکردن لاگ‌ها
• حذف لاگ‌های Audit بدون تهیه نسخه پشتیبان
• نادیده گرفتن هشدارها و گزارش‌ها

چک‌لیست

پس از راه‌اندازی Auditd، موارد زیر را بررسی کنید:

• Auditd نصب شده است.
• سرویس در حال اجرا است.
• قوانین موردنیاز ایجاد شده‌اند.
• قوانین دائمی شده‌اند.
• فایل‌های حساس مانیتور می‌شوند.
• رویدادها با ausearch قابل مشاهده هستند.
• گزارش‌ها با aureport تولید می‌شوند.

جمع‌بندی

Auditd یکی از مهم‌ترین ابزارهای امنیتی لینوکس برای ثبت و تحلیل رویدادهای سیستم است. این ابزار به شما امکان می‌دهد بدانید چه کسی، چه زمانی و چه تغییری روی فایل‌ها یا تنظیمات حساس سیستم انجام داده است؛ قابلیتی که در بررسی حوادث امنیتی و تحلیل نفوذ اهمیت بالایی دارد.

در کنار ابزارهایی مانند AIDE، RKHunter، Chkrootkit و Fail2Ban، استفاده از Auditd دید بسیار دقیق‌تری نسبت به وضعیت امنیتی سرور فراهم می‌کند و یکی از ابزارهای ضروری برای هر مدیر سیستم لینوکسی به شمار می‌رود.

کیان پور