如何用auditd監(jiān)控Linux進(jìn)程活動(dòng)

小億
118
2024-04-26 23:14:48

要使用auditd監(jiān)控Linux進(jìn)程活動(dòng)，您可以按照以下步驟操作：

  1. 安裝auditd：如果您的系統(tǒng)上未安裝auditd，則需要先安裝auditd，可以使用以下命令進(jìn)行安裝：
sudo apt-get install auditd
  1. 配置audit規(guī)則：編輯audit規(guī)則配置文件/etc/audit/audit.rules，添加以下規(guī)則以監(jiān)控進(jìn)程活動(dòng)：
-a always,exit -F arch=b64 -S execve
-a always,exit -F arch=b64 -S execveat

這將監(jiān)控所有進(jìn)程的執(zhí)行操作。

  1. 重啟auditd服務(wù)：您可以使用以下命令重啟auditd服務(wù)以使更改生效：
sudo systemctl restart auditd
  1. 查看audit日志：您可以使用ausearch命令來(lái)查看audit日志，例如查看最近的進(jìn)程活動(dòng)：
sudo ausearch -m execve

通過(guò)以上步驟，您就可以使用auditd監(jiān)控Linux進(jìn)程活動(dòng)了。您也可以根據(jù)自己的需求配置其他審計(jì)規(guī)則來(lái)監(jiān)控更多的系統(tǒng)活動(dòng)。

0 踩