linux安全體系分析與編程

1、Linux安全體系分析與編程2.2審計(jì)系統(tǒng)2.2審計(jì)系統(tǒng)審計(jì)系統(tǒng)Linux提供了用來(lái)記錄系統(tǒng)安全信息的審計(jì)系統(tǒng)，審計(jì)系統(tǒng)分為用戶(hù)空間和內(nèi)核空間審計(jì)系統(tǒng)，用戶(hù)空間審計(jì)系統(tǒng)用來(lái)設(shè)置規(guī)則和審計(jì)系統(tǒng)狀態(tài)、將內(nèi)核審計(jì)系統(tǒng)傳來(lái)的審計(jì)消息寫(xiě)入log文件。內(nèi)核審計(jì)系統(tǒng)用于產(chǎn)生和過(guò)濾內(nèi)核的各種審計(jì)消息。本節(jié)重點(diǎn)分析內(nèi)核審計(jì)系統(tǒng)產(chǎn)生和過(guò)濾審計(jì)消息的機(jī)制。2.2.1審計(jì)系統(tǒng)構(gòu)架審計(jì)系統(tǒng)構(gòu)架審計(jì)系統(tǒng)提供了一種記錄系統(tǒng)安全信息的方法，為系統(tǒng)管理員在用戶(hù)違反系統(tǒng)安

2、全法則時(shí)提供及時(shí)的警告信息。審計(jì)系統(tǒng)的審計(jì)信息包括：可被審計(jì)的事件名稱(chēng)、事件狀態(tài)（成功或失?。┖桶踩畔⒌?。審計(jì)系統(tǒng)可以將記錄系統(tǒng)內(nèi)部發(fā)生的事件的信息根據(jù)用戶(hù)的需求，提供不同的報(bào)表功能，從而實(shí)現(xiàn)對(duì)系統(tǒng)信息的追蹤、審查、統(tǒng)計(jì)和報(bào)告等功能。Linux審計(jì)系統(tǒng)子系統(tǒng)之間通信如圖23所示。應(yīng)用程序auditctl用來(lái)設(shè)置審計(jì)消息過(guò)濾規(guī)則、查詢(xún)內(nèi)核審計(jì)系統(tǒng)狀態(tài)等，它通過(guò)link機(jī)制與內(nèi)核審計(jì)系統(tǒng)的socket線程進(jìn)行雙向通信。內(nèi)核其他線程的審計(jì)信

3、息通過(guò)內(nèi)核審計(jì)API寫(xiě)入套接字緩沖區(qū)隊(duì)列audit_skb_queue中，內(nèi)核線程kauditd通過(guò)link機(jī)制將審計(jì)消息定向發(fā)送給用戶(hù)空間的審計(jì)后臺(tái)auditd的主線程，auditd主線程再通過(guò)事件隊(duì)列將審計(jì)消息傳給審計(jì)后臺(tái)的寫(xiě)log文件線程，由寫(xiě)log文件線程將審計(jì)消息寫(xiě)入log文件。另一方面，審計(jì)后臺(tái)還通過(guò)一個(gè)與套接字綁定的管道將審計(jì)消息發(fā)送給dispatcher應(yīng)用程序。2.2.2用戶(hù)空間審計(jì)系統(tǒng)應(yīng)用程序用戶(hù)空間審計(jì)系統(tǒng)應(yīng)用程序

4、在用戶(hù)空間，審計(jì)系統(tǒng)由auditd、audispd、auditctl、autrace、ausearch和aurept等應(yīng)用程序組成。審計(jì)后臺(tái)auditd應(yīng)用程序通過(guò)link機(jī)制從內(nèi)核中接收審計(jì)消息，然后，通過(guò)一個(gè)工作線程將審計(jì)消息寫(xiě)入到審計(jì)日志文件中，其中，還有一部分消息通過(guò)消息分發(fā)后臺(tái)進(jìn)程dispatcher調(diào)用syslog寫(xiě)入日志系統(tǒng)。審計(jì)系統(tǒng)后臺(tái)應(yīng)用程序auditd是Linux審計(jì)系統(tǒng)的用戶(hù)空間部件，它負(fù)責(zé)將審計(jì)記錄寫(xiě)入到硬盤(pán)中。

5、ausearch或aurept工具用來(lái)查看寫(xiě)在文件中的審計(jì)記錄，auditctl工具用來(lái)設(shè)置審計(jì)規(guī)則。系統(tǒng)啟動(dòng)時(shí)，auditctl讀取etcaudit.rules中的規(guī)則，審計(jì)后臺(tái)可以通過(guò)auditd.conf文件定制配置。運(yùn)行auditd后臺(tái)的命令如下：auditd[f]其中，選項(xiàng)f表示讓auditctl在前臺(tái)運(yùn)行，以方便調(diào)試，消息可以直接輸出到stderr，而不是輸出到log系統(tǒng)。用于配置auditd后臺(tái)的文件說(shuō)明如下：etcaud

6、itd.conf用于auditd后臺(tái)的配置文件。etcaudit.rules啟動(dòng)時(shí)裝載的審計(jì)規(guī)則。2auditctl工具auditctl控制行為、得到狀態(tài)、從內(nèi)核審計(jì)系統(tǒng)增加或刪除規(guī)則。命令格式如下：auditctl[options]工具auditctl的命令行選項(xiàng)（options）很多，例如：e[0|1]表示停止或啟動(dòng)內(nèi)核審計(jì)功能；a表示將規(guī)則追加到鏈表；S表示系統(tǒng)調(diào)用號(hào)或名字；F表示規(guī)則域。工具auditctl設(shè)置規(guī)則的樣例如下：查