配置CentOS auditd需安装并启用服务，编辑/etc/audit/auditd.conf调整日志参数，在/etc/audit/rules.d/下创建规则文件定义监控事件，如文件访问、系统调用等，加载规则后使用ausearch、aureport分析日志，并通过精简规则、轮转日志优化性能。
CentOS安全审计旨在监控和记录系统上的各种活动，以便于追踪安全事件、符合合规性要求以及检测潜在的恶意行为。实施安全审计的核心在于配置auditd服务，并根据实际需求定制审计规则。
配置auditd服务，并根据实际需求定制审计规则。
如何配置CentOS上的auditd服务？
auditd的配置主要涉及
/etc/audit/auditd.conf
文件和
/etc/audit/rules.d/
目录下的规则文件。首先，你需要安装auditd：
yum install audit -y
然后，启动并启用auditd服务：
systemctl start auditd systemctl enable auditd
/etc/audit/auditd.conf
文件包含auditd的全局配置，例如日志文件位置、最大日志文件大小、日志文件数量等。你可以根据实际需求调整这些参数。
审计规则定义了哪些事件应该被记录。这些规则通常放在
/etc/audit/rules.d/
目录下，以
.rules
为后缀的文件中。例如，创建一个名为
my_rules.rules
的文件，并添加以下规则：
-w /etc/passwd -p wa -k passwd_changes -w /etc/shadow -p wa -k passwd_changes -a always,exit -F arch=b64 -S open,creat,truncate,ftruncate -F exit=-EACCES -k access
第一条规则监控
/etc/passwd
和
/etc/shadow
文件的写入和属性修改，并将其标记为
passwd_changes
。第二条规则监控对文件的打开、创建、截断等操作，如果返回权限错误，则记录该事件，并标记为
access
。
配置完成后，需要重新加载auditd配置：
auditctl -R /etc/audit/rules.d/my_rules.rules
使用
auditctl -l
命令可以查看当前生效的审计规则。
如何分析CentOS安全审计日志？
安全审计日志通常位于
/var/log/audit/audit.log
文件中。日志条目包含大量信息，例如事件类型、时间戳、用户ID、进程ID等。手动分析日志非常耗时，因此通常使用工具辅助分析。
ausearch
命令可以根据各种条件搜索审计日志。例如，搜索所有与
passwd_changes
标记相关的事件：
ausearch -k passwd_changes
搜索特定用户执行的命令：
ausearch -ua <username> -ts today
aureport
命令可以生成审计报告，例如生成用户活动报告：
aureport -u -ts today
还可以结合使用
grep
、
awk
等工具进行更复杂的日志分析。例如，统计特定时间内发生的权限错误次数：
ausearch -k access -ts today | grep "denied" | wc -l
如何优化CentOS安全审计配置以减少性能影响？
审计规则过多或过于复杂可能会对系统性能产生影响。因此，需要优化审计配置，只监控必要的事件。
- 只审计关键文件和目录：避免审计不重要的文件和目录，只关注可能被攻击者利用的目标。
- 使用合适的审计规则：尽量使用精确的审计规则，避免使用过于宽泛的规则。例如，如果只需要监控文件的写入操作，就不要同时监控读取操作。
- 调整日志文件大小和数量：根据实际需求调整
/etc/audit/auditd.conf
文件中的
max_log_file
和
num_logs
参数，避免日志文件占用过多磁盘空间。
- 定期轮转和归档日志：使用
logrotate
工具定期轮转和归档审计日志，避免日志文件过大。
- 使用实时分析工具：考虑使用实时分析工具，例如Elasticsearch、Logstash、Kibana (ELK) Stack，对审计日志进行实时分析和可视化，减少手动分析的负担。
例如，可以设置只审计root用户对关键系统文件的修改，而不是审计所有用户的操作。这样可以显著减少日志量，降低性能影响。同时，定期审查审计规则，删除不再需要的规则，也是优化审计配置的重要步骤。