Sa susunod na artikulo ay titingnan namin ang aureport. Ito ay isang tool na gumagawa ng mga ulat ng buod ng mga log ng system para sa pag-audit. Ang utility na ito ay maaari ring magamit si stdin basta ang input ay ang raw na impormasyon sa pag-log. Ang mga ulat ay may label na haligi sa itaas upang makatulong sa pagbibigay kahulugan ng iba't ibang mga patlang. Maliban sa pangunahing ulat ng buod, ang lahat ng mga ulat ay mayroong numero ng kaganapan sa pag-audit.
Ang mga ulat na ginawa ng aureport ay maaaring magamit bilang mga bloke ng gusali para sa mas kumplikadong pagsusuri. Silangan ito ay hindi isang kumplikadong utos, napakadaling gamitin. Sa pagtatapos ng post na ito sa palagay ko lahat tayo ay malalaman nang kaunti tungkol sa mga paraan kung saan maaaring magamit ang utos na ito bumuo ng mga ulat mula sa aming system.
Pag-install ng aureport
Upang mai-install ang tool na ito sa aming Ubuntu, kakailanganin naming mag-install ng auditd. Ito ang sangkap ng puwang ng gumagamit para sa system ng pag-audit ng Gnu / Linux. Pagkatapos ng pag-install ay magagawa namin tingnan ang mga tala gamit ang mga utility ng ausearch o aureport. Pinapayagan ng auditd daemon ang tagapangasiwa ng isang sistema ng Gnu / Linux na makatanggap ng impormasyong audit sa seguridad na nabuo ng kernel, salain ito, at iimbak ito sa mga file.
Upang maisagawa ang pag-install, sa Gagawin ko ang halimbawang ito sa Ubuntu 17.10, magsusulat lamang kami ng sumusunod na utos sa terminal (Ctrl + Alt + T):
sudo apt install auditd
Sa pamamagitan nito, magkakaroon kami ng lahat ng kailangan nating mai-install at magagamit namin ang tool na ito sa terminal. Kung hindi mo gagamitin ang root account, kakailanganin mong magdagdag ng sudo sa bawat isa sa mga utos.
Paggamit ng aureport
Patakbuhin ang ulat sa buod na ibibigay mo sa amin isang kabuuan ng pangunahing mga item ng ulat. Tandaan na hindi lahat ng mga ulat ay may buod upang magamit. Kung nais naming makuha ang ulat ng buod na maaaring ibigay sa amin ng aureport, kakailanganin lamang naming ipatupad ang sumusunod na utos sa terminal (Ctrl + Alt + T). Ang ulat sa buod ay nabuo bilang isang resulta:
aureport
Kaso gusto bumuo ng ulat ng pagpapatotoo, kailangan naming isagawa ang utos gamit ang pagpipilian au. Sa terminal ay susulatin namin ito tulad ng sumusunod:
aureport -au
Maaari ding ipakita sa amin ang utos ng ulat ng maipapatupad ng aming system. Upang makuha ang ulat na ito kailangan naming ipatupad ang utos kasama ang pagpipilian x sa aming terminal:
aureport -x
Upang mapili ang bigong mga kaganapan upang maproseso sa mga ulat, kailangan nating idagdag ang Nabigo ang pagpipilian. Ang default ay parehong matagumpay at nabigong mga kaganapan. Sasulatin namin ang utos tulad ng ipinakita sa ibaba:
aureport --failed
Kung ang nais nating makita ay ang ulat sa pag-login, kailangan naming isagawa ang utos gamit ang pagpipilian l tulad ng nakikita sa sumusunod na screenshot:
aureport -l
Tingnan ang ulat ng crypto Posible rin kung gagamitin natin ang utos kasama ang pagpipilian ng cr, tulad ng nakikita mo sa ibaba:
aureport -cr
Maaari rin naming i-verify ang aming ulat sa pagbabago ng account. Magdaragdag lamang kami ng pagpipilian m. Ang utos ay dapat na isagawa tulad ng sumusunod:
aureport -m
Upang makita ang Ulat ng PID, idaragdag lamang namin ang pagpipilian p sa utos tulad ng ipinakita sa ibaba:
aureport -p
Bilang karagdagan, makikita namin ang ulat sa system call (Syscall) gamit ang pagpipilian s. Maaari naming maisagawa ang utos gamit ang sumusunod na paraan:
aureport -s
Upang matingnan ang ulat ng matagumpay na operasyon, isasagawa lamang namin ang utos na nagdaragdag ng pagpipilian sa tagumpay sa utos na ito:
aureport --success
Upang matapos, makakaya natin tingnan ang mga magagamit na pagpipilian para sa utos na ito. Idagdag lamang ang opsyon sa tulong sa utos ng aureport. Sasulatin namin ito sa terminal tulad ng ipinakita sa ibaba:
aureport --help
I-uninstall
Upang alisin ang tool na ito mula sa aming system, kailangan mo lamang buksan ang isang terminal (Ctrl + Alt + T) at isulat ito:
sudo apt remove auditd && sudo apt autoremove
Sa pamamagitan nito mayroon na kaming pangkalahatang ideya ng saklaw at ang paggamit ng aureport command, bagaman ito ay isang sample lamang. Sino ang nangangailangan nito, maaaring makakuha tulong mula sa pahina na mahahanap natin sa mga manpage. Mahahanap namin doon ang parehong impormasyon na ipapakita sa amin ng aming system kapag isinasagawa ang tulong ng tao sa utos ng aureport.