linux服务器安全审计怎么弄

材料：

Linux审计系统auditd 套件

步骤：

安装 auditd

REL/centos默认已经安装了此套件，如果你使用ubuntu server，则要手工安装它：

sudo apt-get install auditd

它包括以下内容：

auditctl : 即时控制审计守护进程的行为的工具，比如如添加规则等等。

/etc/audit/auditrules : 记录审计规则的文件。

aureport : 查看和生成审计报告的工具。

ausearch : 查找审计事件的工具

auditspd : 转发事件通知给其他应用程序，而不是写入到审计日志文件中。

autrace : 一个用于跟踪进程的命令。

/etc/audit/auditdconf : auditd工具的配置文件。

Audit 文件和目录访问审计

首次安装 auditd 后, 审计规则是空的。可以用 sudo auditctl -l 查看规则。文件审计用于保护敏感的文件，如保存系统用户名密码的passwd文件，文件访问审计方法：

sudo auditctl -w /etc/passwd -p rwxa

-w path : 指定要监控的路径，上面的命令指定了监控的文件路径 /etc/passwd

-p : 指定触发审计的文件/目录的访问权限

rwxa ： 指定的触发条件，r 读取权限，w 写入权限，x 执行权限，a 属性（attr）

目录进行审计和文件审计相似，方法如下：

$ sudo auditctl -w /production/

以上命令对/production目录进行保护。

3 查看审计日志

添加规则后，我们可以查看 auditd 的日志。使用 ausearch 工具可以查看auditd日志。

sudo ausearch -f /etc/passwd

-f 设定ausearch 调出 /etc/passwd文件的审计内容

4 查看审计报告

以上命令返回log如下：

time->Mon Dec 22 09:39:16 2016

type=PATH msg=audit(1419215956471:194): item=0 name="/etc/passwd"

inode=142512 dev=08:01 mode=0100644 ouid=0 ogid=0 rdev=00:00 nametype=NORMAL

type=CWD msg=audit(1419215956471:194): cwd="/home/somebody"

type=SYSCALL msg=audit(1419215956471:194): arch=40000003 syscall=5 

success=yes exit=3 a0=b779694b a1=80000 a2=1b6 a3=b8776aa8 items=1 ppid=2090 pid=2231 auid=4294967295 uid=1000 gid=1000 euid=0 suid=0 fsuid=0 egid=1000 sgid=1000 fsgid=1000 tty=pts0 ses=4294967295

comm="sudo" exe="/usr/bin/sudo" key=(null)

time : 审计时间。

name : 审计对象

cwd : 当前路径

syscall : 相关的系统调用

auid : 审计用户ID

uid 和 gid : 访问文件的用户ID和用户组ID

comm : 用户访问文件的命令

exe : 上面命令的可执行文件路径

以上审计日志显示文件未被改动。

绿盟日志审计系统是一款用于日志管理和审计的软件，当无法收到日志时，可以考虑以下几个方面：1检查绿盟日志审计服务器是否正常运行;2检查日志采集代理是否正常运行，是否配置正确;3如果是网络日志，要检查网络是否正常，防火墙是否阻止采集。4如果是本地日志，需要确保日志输出路径和格式是否正确，检查是否有权限等因素影响。对于以上情况，需要根据实际情况进行排查，并及时解决，以保障日志审计系统的正常运行和数据安全。

你是宝塔什么版本的？据我了解宝塔免费版是没有这个功能的，专业版好像有，但具体没有了解，要是你服务器需要这个功能的话，可以下载试试云帮手，就有这个功能。

云帮手体验地址

宝塔的其他基础功能这个软件也有，里面的日志审计功能 *** 作步骤我也一起跟你讲了吧。

1进入服务器面板，点击最右边的“日志审计”功能

2根据自己的需求（日志、时间、关键词）进行搜索

3再对搜索出来的日志进行 *** 做即可

您好，很高兴为您解答。

日志审计系统的需求分析

日志很早就有，日志对于信息安全的重要性也早已众所周知，但是对日志的真正重视却是最近几年的事情。

当今的企业和组织在IT信息安全领域面临比以往更为复杂的局面。这既有来自于企业和组织外部的层出不穷的入侵和攻击，也有来自于企业和组织内部的违规和泄漏。

为了不断应对新的安全挑战，企业和组织先后部署了防病毒系统、防火墙、入侵检测系统、漏洞扫描系统、UTM，等等。这些安全系统都仅仅防堵来自某个方面的安全威胁，形成了一个个安全防御孤岛，无法产生协同效应。更为严重地，这些复杂的IT资源及其安全防御设施在运行过程中不断产生大量的安全日志和事件，安全管理人员面对这些数量巨大、彼此割裂的安全信息， *** 作着各种产品自身的控制台界面和告警窗口，显得束手无策，工作效率极低，难以发现真正的安全隐患。

另一方面，企业和组织日益迫切的信息系统审计和内控、以及不断增强的业务持续性需求，也对当前日志审计提出了严峻的挑战。下表简要列举了部分相关法律法规对于日志审计的要求:

尤其是国家信息系统等级保护制度的出台，明确要求二级以上的信息系统必须对网络、主机和应用进行安全审计。

综上所述，企业和组织迫切需要一个全面的、面向企业和组织IT资源（信息系统保护环境）的、集中的安全审计平台及其系统，这个系统能够收集来自企业和组织IT资源中各种设备和应用的安全日志，并进行存储、监控、审计、分析、报警、响应和报告。

日志审计系统的基本组成：

对于一个日志审计系统，从功能组成上至少应该包括信息采集、信息分析、信息存储、信息展示四个基本功能：

1)   日志采集功能：系统能够通过某种技术手段获取需要审计的日志信息。对于该功能，关键在于采集信息的手段种类、采集信息的范围、采集信息的粒度（细致程度）。

2)   日志分析功能：是指对于采集上来的信息进行分析、审计。这是日志审计系统的核心，审计效果好坏直接由此体现出来。在实现信息分析的技术上，简单的技术可以是基于数据库的信息查询和比较；复杂的技术则包括实时关联分析引擎技术，采用基于规则的审计、基于统计的审计、基于时序的审计，以及基于人工智能的审计算法，等等。

3)   日志存储功能：对于采集到原始信息，以及审计后的信息都要进行保存，备查，并可以作为取证的依据。在该功能的实现上，关键点包括海量信息存储技术、以及审计信息安全保护技术。

4)   信息展示功能：包括审计结果展示界面、统计分析报表功能、告警响应功能、设备联动功能，等等。这部分功能是审计效果的最直接体现，审计结果的可视化能力和告警响应的方式、手段都是该功能的关键。

日志审计系统的选型指南：

那么，我们如何选择一款合适的日志审计系统呢？评价一款日志审计系统需要关注哪些方面呢？笔者认为至少应该从以下几个方面来考虑：

1、  由于一款综合性的日志审计系统必须能够收集网络中异构设备的日志，因此日志收集的手段应要丰富，建议至少应支持通过Syslog、SNMP、NetFlow、ODBC/JDBC、OPSEC LEA等协议采集日志，支持从Log文件或者数据库中获取日志。

2、  日志收集的性能也是要考虑的。一般来说，如果网络中的日志量非常大，对日志系统的性能要求也就比较高，如果因为性能的问题造成日志大量丢失的话，就完全起不到审计的作用的了。目前，国际上评价一款日志审计产品的最重要指标叫做“事件数每秒”，英文是Event per Second，即EPS，表明系统每秒种能够收集的日志条数，通常以每条日志05K～1K字节数为基准。一般而言，EPS数值越高，表明系统性能越好。

3、  应提供精确的查询手段，不同类型日志信息的格式差异非常大，日志审计系统对日志进行收集后，应进行一定的处理，例如对日志的格式进行统一，这样不同厂家的日志可以放在一起做统计分析和审计，必须注意的是，统一格式不能把原始日志破坏，否则日志的法律效力就大大折扣了。

4、  要让收集的日志发挥更强的安全审计的作用，有一定技术水平的管理员会希望获得对日志进行关联分析的工具，能主动挖掘隐藏在大量日志中的安全问题。因此，有这方面需求的用户可以重点考查产品的实时关联分析能力。

5、  应提供大容量的存储管理方法，用户的日志数据量是非常庞大的，如果没有好的管理手段，不仅审计查询困难，占用过多的存储空间对用户的投资也是浪费。

6、  日志系统存储的冗余非常重要，如果集中收集的日志数据因硬件或系统损坏而丢失，损失就大了，如果选购的是软件的日志审计系统，用户在配备服务器的时候一定要保证存储的冗余，如使用RAID5，或专用的存储设备，如果选购的是硬件的日志审计系统，就必须考查硬件的冗余，防止出现问题。

7、  应提供多样化的实时告警手段，发现安全问题应及时告警，还要提供自定义报表的功能，能让用户做出符合自身需求的报表。

以上是笔者针对日志审计系统的选型提出的几个建议，但在实际中，还有一些其他的问题需要考虑，像厂商的支持服务能力、产品案例的应用等等，这里就不一一列举了。

总之，信息安全基础设施的日趋复杂，使得我们已经从简单的日志管理时代迈入了系统性的日志综合审计时代，日志对于网络与信息安全的价值和作用必将越发重要。

如若满意，请点击右侧采纳答案，如若还有问题，请点击追问
希望我的回答对您有所帮助，望采纳！
                                                                                                                           ~ O(∩_∩)O~

---