System Security (系统安全)

April 21, 2025April 21, 2025

[步骤] Linux 命令的监控（audit 版）

正文：

步骤一：添加监控命令的 audit 规则

1.1 添加监控命令的 audit 规则的格式

-w <command> -p x -k <search_key>

（
补充：
1) 这里的 <command> 是要监控的命令
2) 这里的 <search_key> 是个标识，用于简化在 audit 日志里搜索此命令
）

1.2 添加监控命令的 audit 规则的案例

-w /usr/bin/rm -p x -k rm_command

（
补充：这里以
1) 监控 /usr/bin/rm 命令
2) 标识是 rm_command 为例
）

步骤二：让刚刚添加的规则生效

2.1 合并新添加的 audit 规则

# augenrules

2.2 重启 auditd 服务

# service auditd restart

步骤三：查看新添加的规则

# auditctl -l

步骤四：查看某个表示的 audit 日志

# ausearch -k rm_command

（补充：这里以查看标识为 rm_command 的 audit 日志为例）

参考文献：

https://access.redhat.com/solutions/3401281

March 27, 2025March 27, 2025

[命令] Linux 命令 loginctl 的使用（查看和管理所有 SSH 登录会话\进程）

内容一：查看所有 SSH 登录会话\进程

# loginctl -a
SESSION   UID USER         SEAT TTY  
     27  1001 mingyuzhu      pts/0

（
补充：从输出结果可以看出
1) 会话\进程的 SESSION 号码为 27
2) 创建会话\进程的用户 UID 是 1001
3) 创建会话\进程的用户是 mingyuzhu
4) 创建会话\进程的 SEAT TTY 是 pts/0
）

内容二：关闭某个 SSH 登录会话\进程

# loginctl terminate-session 27

（补充：这里以关闭 SESSION 号码是 27 的会话\进程为例）

内容三：批量关闭某个用户通过 SSH 登录的所有会话\进程

3.1 批量关闭某个用户通过 SSH 登录的所有会话\进程（显示输出结果）

# loginctl -a | grep mingyuzhu| awk '{print "loginctl terminate-session  "$1;system("loginctl terminate-session "$1"")}'

3.2 批量关闭某个用户通过 SSH 登录的所有会话\进程（不显示输出结果）

# loginctl -a | grep mingyuzhu| awk '{print "loginctl terminate-session  "$1;system("loginctl terminate-session "$1"")}' > /dev/null

或者：

# loginctl -a | grep mingyuzhu| `awk '{print "loginctl terminate-session  "$1;system("loginctl terminate-session "$1"")}'`

March 26, 2025March 26, 2025

[排错] Linux 解决使用 authselect apply-changes 命令时报错 “[error] [……] has unexpected content!”

报错代码：

[error] [/....../system-auth] has unexpected content!
[error] [/....../password-auth] has unexpected content!
[error] [/....../nsswitch.conf] has unexpected content!
[error] Unexpected changes to the configuration were detected.
[error] Refusing to activate profile unless those changes are removed or overwrite is requested.
Some unexpected changes to the configuration were detected. Use 'select' command instead.

解决方法（创建新的 authselect 文件）：

步骤一：移走原来的 authselect 文件

# mv /etc/authselect/custom/password-policy /etc/authselect/custom/password-policy-backup

步骤二：创建新的 authselect 的文件

# authselect create-profile password-policy -b sssd --symlink-meta --symlink-pam

步骤三：使用新创建的 authselect 文件

# authselect select custom/password-policy with-sudo with-faillock without-nullok with-mkhomedir --force

步骤四：启用 oddjob 服务

# dnf install oddjob ; systemctl enable --now oddjobd.service

步骤五：启用新的 authselect 文件

# authselect apply-changes

March 20, 2025March 20, 2025

[步骤] Linux audit 日志的查看（判断哪个文件是被哪个用户修改过）

步骤一：查看在 audit 日志中文件被修改的日志编号

# cat /var/log/audit/audit.log | grep test.txt
......
type=PATH msg=audit(1532475291.426:18858423)......
......

（
补充：
1) 这里以查看在 audit 日志中文件 test.txt 被修改的记录为例
2) 从这里的输出结果可以看到此次的修改记录中日志的编号是 18858423
）

步骤二：在 audit 日志中查看和此日志编号相同的的日志里记录的 PPID

# cat /var/log/audit/audit.log | grep ppid | grep 18858423
......
...... ppid=6027281 ......
......

（
补充：
1) 这里以查看在 audit 日志中和日志编号 18858423 相同的的日志里记录的 PPID 为例
2) 这里的日志编号 18858423 是在步骤一中查到的
3) 从这里的输出结果可以看到和此日志编号相同的日志里记录的 PPID 是 6027281
）

步骤三：在系统日志中查看哪个用户登录系统时生成的是此 PPID

# cat /var/log/messages | grep terminal=ssh  | grep 6027281

（
补充：
1) 这里以查看在系统日志中哪个用户登录系统时生成的是 PPID 6027281 为例
2) 这里的 PPID 6027281 是在步骤二中查到的
)

March 19, 2025March 19, 2025

[内容] CVSS 简介

内容一：什么叫 CVSS

CVSS 全称是：Common Vulnerability Scoring System，翻译成中文是：通用漏洞评分系统。是一个业界评估漏洞危害程度的标准

内容二：CVSS 的用途

用于评估漏洞危害程度，以侧面反应问题的危害程度和紧急程度

内容三：CVSS 版本

CVSS v1
CVSS v2
CVSS v3.0
CVSS v3.1
CVSS v4.0
……

（补充：不同的 CVSS 版本评分标准不同）

Category: System Security (系统安全)

[步骤] Linux 命令的监控（audit 版）

正文：

步骤一：添加监控命令的 audit 规则

1.1 添加监控命令的 audit 规则的格式

1.2 添加监控命令的 audit 规则的案例

步骤二：让刚刚添加的规则生效

2.1 合并新添加的 audit 规则

2.2 重启 auditd 服务

步骤三：查看新添加的规则

步骤四：查看某个表示的 audit 日志

参考文献：

[内容] CVSS 简介

内容一：什么叫 CVSS

内容二：CVSS 的用途

内容三：CVSS 版本

内容四：查看 CVSS 的方式

正文：

步骤一：添加监控命令的 audit 规则

1.1 添加监控命令的 audit 规则的格式

1.2 添加监控命令的 audit 规则的案例

步骤二：让刚刚添加的规则生效

2.1 合并新添加的 audit 规则

2.2 重启 auditd 服务

步骤三：查看新添加的规则

步骤四：查看某个表示的 audit 日志

参考文献：

内容一：查看所有 SSH 登录会话\进程

内容二：关闭某个 SSH 登录会话\进程

内容三：批量关闭某个用户通过 SSH 登录的所有会话\进程

3.1 批量关闭某个用户通过 SSH 登录的所有会话\进程 （显示输出结果）

3.2 批量关闭某个用户通过 SSH 登录的所有会话\进程 （不显示输出结果）

报错代码：

解决方法 （创建新的 authselect 文件）：

步骤一：移走原来的 authselect 文件

步骤二：创建新的 authselect 的文件

步骤三：使用新创建的 authselect 文件

步骤四：启用 oddjob 服务

步骤五：启用新的 authselect 文件

步骤一：查看在 audit 日志中文件被修改的日志编号

步骤二：在 audit 日志中查看和此日志编号相同的的日志里记录的 PPID

步骤三：在系统日志中查看哪个用户登录系统时生成的是此 PPID

内容一：什么叫 CVSS

内容二：CVSS 的用途

内容三：CVSS 版本

内容四：查看 CVSS 的方式

3.1 批量关闭某个用户通过 SSH 登录的所有会话\进程（显示输出结果）

3.2 批量关闭某个用户通过 SSH 登录的所有会话\进程（不显示输出结果）

解决方法（创建新的 authselect 文件）：