System Privilege Security (系统权限安全) – Page 2

October 11, 2022November 22, 2024

[内容] auditd 使用（监控文件或目录的变化）

内容一：auditd 的管理

1.1 启动 auditd

1.1.1 启动 auditd

# service auditd restart

1.1.2 查看 auditd 状态

# auditctl -s

1.1.3 设置 auditd 开机自启

# chkconfig auditd on

1.1.4 查看 auditd 开机自启状态

# chkconfig --list auditd

1.2 查看 auditd 的规则

# auditctl -l

1.3 删除 auditd 的规则

1.3.1 永久删除 auditd 的所有规则

1.3.1.1 清空 /etc/audit/audit.rules 文件里的所有内容

# vi /etc/audit/audit.rules

删除里面的所有内容

1.3.1.2 让刚刚的设置生效

# service auditd restart

或者：

# augenrules

1.3.2 临时删除 auditd 的规则

1.3.2.1 临时删除 auditd 的所有规则

# auditctl -D

（补充：此操作重启后失效）

1.3.2.2 临时删除 auditd 的普通规则（以 -w 开头的规则）

# auditctl -W <policy>

（补充：此操作重启后失效）

1.3.2.3 临时删除 auditd 的使用系统调用和过滤条件的监控规则（以 -a 开头的规则）

# auditctl -d <policy>

（补充：此操作重启后失效）

1.4 显示 auditd 日志

1.4.1 显示 auditd 的所有日志

# cat /var/log/audit/audit.log

1.4.2 显示某文件或目录的日志

# ausearch -f <file/directory>

1.4.3 显示某关键词的日志

# ausearch -k <key_name>

1.5 生成 auditd 日志报告

# aureport -k

内容二：auditd 的规则

2.1 普通监控规则

2.1.1 普通监控规则的格式

2.1.1.1 普通监控规则的格式

-w <file/directory> -p <previlege> -k <key_name>

（
补充：
1) 文件名或目录名，需要绝对路径
2) 监控的权限，可以是 rwxa 其中的任意 1 个或多个，r 代表读权限、w 代表写权限，x 代表执行权限，a 代表文件类型
3) 此类日志的关键词
）

2.1.1.2 添加普通监控规则的格式

2.1.1.2.1 临时添加普通监控规则的格式

# auditctl -w <file/directory> -p <previlege> -k <key_name>

2.1.1.2.2 永久添加普通监控规则的格式

# vim /etc/audit/audit.rules

添加以下内容：

......
-w <file/directory> -p <previlege> -k <key_name>

（
注意：永久添加的规则后要重启 auditd 服务后才会生效

# service auditd restart

或者：

# augenrules

）

2.1.2 添加普通监控规则的案例

2.1.2.1 案例一：添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化的规则

# auditctl -w /etc/nginx/nginx.conf

（补充：这里以临时添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化的规则为例）

2.1.2.2 案例二：添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化，并设置关键词为 nginx 的规则

# auditctl -w /etc/nginx/nginx.conf -p rwxa -k 'nginx'

（补充：这里以临时添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化，并设置关键词为 nginx 的规则为例）

2.2 使用系统调用和过滤条件的监控规则

2.2.1 使用系统调用和过滤条件的监控规则的格式

2.2.1.1 使用系统调用和过滤条件的监控规则的格式

-a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name>

（
补充：
1) 和用于确定事件被记录，的值可以是 always 或者 never，的值可以是 task、exit、user 或者 exclude
2) 是系统调用，Linux 系统调用的名称在 /usr/include/asm/unistd_64.h 文件中，可以将多个系统调用放在一个规则里，例：-S <system_call> -S <system_call> ……，或者 -S <system_call>,<system_call>……
3) 和是过略条件，可以将多个过略条件放在一个规则里，-F <field>=<value> -F <field>=<value> ……
4) 是此类日志的关键词
）

2.2.1.2 添加使用系统调用和过滤条件的监控规则的格式

2.2.1.2.1 临时添加使用系统调用和过滤条件的监控规则的格式

# auditctl -a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name>

2.2.1.2.2 永久添加使用系统调用和过滤条件的监控规则的格式

# vim /etc/audit/audit.rules

添加以下内容：

......
-a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name>

（
注意：永久添加的规则后要重启 auditd 服务后才会生效

# service auditd restart

或者：

# augenrules

）

2.2.2 使用系统调用和过滤条件的监控规则的案例

2.2.2.1 案例一：监控所有 UID 大于 1000 的用户的删除操作，并设置关键词为 delete

# auditctl -a always,exit -S rmdir -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=unset -F auid!=4294967295 -k delete

（补充：这里以临时监控所有 UID 大于 1000 的用户删除操作为例）

（注意：这里的 -F auid!=4294967295 是为了排除 login UID 没有被设置的用户）

2.2.2.2 案例二：监控所有 UID 大于 1000 的用户的文件删除操作，并设置关键词为 delete

# auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=unset -F auid!=4294967295 -k delete

（补充：这里以临时监控所有 UID 大于 1000 的用户删除操作为例）

（注意：这里的 -F auid!=4294967295 是为了排除 login UID 没有被设置的用户）

2.2.2.3 案例三：监控所有网络连接

# auditctl -a always,exit -F arch=b64 -S socket
# auditctl -a always,exit -F arch=b64 -S connect
# auditctl -a always,exit -F arch=b64 -S sendmmsg
# auditctl -a always,exit -F arch=b64 -S sendmsg
# auditctl -a always,exit -F arch=b64 -S bind
# auditctl -a always,exit -F arch=b64 -S recvmsg
# auditctl -a always,exit -F arch=b64 -S close

（补充：这里以监控所有网络连接为例）

July 29, 2022July 29, 2022

[命令] Linux 命令 gpasswd （管理组）

内容一：组的成员管理

1.1 把用户添加到组里

1.1.1 把某个用户添加到某个组

# gpasswd -a <user> <group>

或者：

# gpasswd –add <user> <group>

或者：

# gpasswd -M <group>

或者：

# gpasswd –members <group>

1.1.2 把多个用户添加到某个组

# gpasswd -a <user1>,<user2> <group>

或者：

# gpasswd –add <user1>,<user2> <group>

或者：

# gpasswd -M <user1>,<user2> <group>

或者：

# gpasswd –members <user1>,<user2> <group>

2.2 把用户从组里删除

2.2.1 把某个用户从某个组里删除

# gpasswd -d <user> <group>

或者：

# gpasswd –delete <user> <group>

2.2.2 把多个用户添加到某个组

# gpasswd -d <user1>,<user2> <group>

或者：

# gpasswd –delete <user1>,<user2> <group>

2.3 将某个用户设置为组的管理员

# gpasswd -A <user> <group>

或者：

# gpasswd –administrators <user> <group>

内容三：组的密码管理

3.1 给某个组设置密码

# gpasswd <group>

3.2 删除某个组的密码

# gpasswd –r <group>

或者：

# gpasswd –remove-password <group>

内容四：组的登录管理

限制某个组登录

# gpasswd -R <group>

或者：

# gpasswd –restrict <group>

内容五：显示帮助信息

# gpasswd -h

或者：

# gpasswd -help

July 28, 2022October 19, 2022

Linux 防范黑客入侵的思路

黑客发现阶段

黑客在入侵前往往会先对整个网络进行扫描，尝试发现我们的系统。在这个阶段我们可以尝试的防范措施有：

1) 关闭 ICMP 协议，让黑客无法通过 ping 发现我们的系统
2) 关闭所有不需要的端口
3) 通过防火墙只让允许访问的 IP 地址访问对应的端口
4) 让防火墙使用 drop 操作丢掉所有没有被允许的访问请求

黑客列举阶段和黑客立足阶段

黑客在发现了我们的系统之后。会根据我们系统和软件的版本，列举不同的破解方法并进行取舍，并最终会选择一种或多种方法进行尝试。在这两个阶段我们可以尝试的防范措施有：

1) 不使用盗版的系统和软件
2) 不使用有漏洞的系统和软件
3) 尽量将所有的系统和软件升级到最新的版本
4) 删除所有非必须的软件
5) 在用户尝试登录系统时，取消显示系统的版本
6) 删除或禁用所有不需要的用户
7) 让所有的用户都使用复杂的密码
8) 定期检查和修改所有用户的密码
9) 定期检查和修改所有用户 ~/.ssh/ 目录中的密钥
10) 限制错误密码尝试的次数，以防止暴力破解
11) 定期检查系统防火墙策略
12) 定期检查系统开启的所有端口
13) 定期检查系统开启的所有进程
14) 定期查看 /var/log/message 中的尝试登录失败的日志记录

黑客保持持久性阶段

黑客在成功进入系统以后，会尝试为自己下次进入系统准备方法，以让入侵保持持久性。在这个阶段我们可以尝试的防范措施有：

1) 定期检查系统中的所有用户的名称和数量
2) 定期检查系统中所有拥有 root 权限的名称和数量
3) 定期检查和修改所有用户的密码
4) 定期检查和修改所有用户 ~/.ssh/ 目录中的密钥
5) 定期检查系统防火墙策略
6) 定期检查系统开启的所有端口
7) 定期检查系统开启的所有进程
8) 缩小重要文件的权限
9) 定期检查所有用户的登录日志
10) 通过 auditd 服务监控所有重要配置文件，并定期检查监控日志

黑客掩盖痕迹阶段

黑客让入侵保持持久性后，会尝试掩盖自己的痕迹。在这个阶段我们可以尝试的防范措施有：

1) 定期检查系统中的所有用户的名称和数量
2) 定期检查系统中所有拥有 root 权限的名称和数量
3) 定期检查和修改所有用户的密码
4) 定期检查和修改所有用户 ~/.ssh/ 目录中的密钥
5) 定期检查系统防火墙策略
6) 定期检查系统开启的所有端口
7) 定期检查系统开启的所有进程
8) 缩小重要文件的权限
9) 定期检查所有用户的登录日志，注意日志的时间是否连贯
10) 通过 auditd 服务监控所有重要配置文件，并定期检查监控日志，注意日志的时间是否连贯

July 18, 2022November 22, 2024

[步骤] auditd 的设置（日志保存时间）

方法一：通过 auditd 配置文件设置

1.1 设置 auditd 日志的保存时间

# vim /etc/audit/auditd.conf

确保部分内容如下：

......
local_events = yes
......
write_logs = yes
......
log_file = /var/log/audit/audit.log
......
max_log_file = 8
......
num_logs =5
......
max_log_file_action = ROTATE
......

（
补充：这里以
1) 开启 auditd 日志（local_events = yes）（write_logs = yes）
2) 将 auditd 日志写入 /var/log/audit/audit.log 文件（log_file = /var/log/audit/audit.log）
3) auditd 日志每达到 8M 大小就将旧的 auditd 日志进行备份并创建新的 auditd 日志（max_log_file = 8）（max_log_file_action = ROTATE），也可以修改成： max_log_file_action = keep_logs
4) 旧的 auditd 日志保存 5 份（num_logs =5）
为例
）

1.2 让设置的 auditd 时间生效

# service auditd restart

方法二：通过 logrotate 配置文件设置

2.1 设置 auditd 日志的保存时间

# vim /etc/logrotate.d/auditd

创建以下内容：

/var/log/audit/*
{
rotate 30
daily
missingok
compress
delaycompress
postrotate
touch /var/log/audit/audit.log ||:
chmod 0600 /var/log/audit/audit.log ||:
service auditd restart
endscript
}

（
补充：这里以：
1) 备份的日志文件保留 30 份（rotate 30）
2) 每天将现在的日志文件进行备份并生成新的日志文件（dayly）
）

2.2 让设置的 auditd 时间生效

# systemctl restart logrotate.service

July 7, 2022November 22, 2024

[步骤] auditd 日志时间转换成可读格式以后再显示

方法一：通过创建额外的脚本实现 adutitd 日志时间格式的转换

1.1 创建用于 auditd 转换日志时间格式的脚本

# vim time_format_conversion.pl

创建以下内容：

s/(1\d{9})/localtime($1)/e

（补充：这里以创建名为 time_format_conversion.pl 的用于转换 auditd 日志时间格式的脚本为例）

1.2 转换 auditd 日志时间格式

# cat /var/log/audit/audit.log | perl -p time_format_conversion.pl

或者：

# less /var/log/audit/audit.log | perl -p time_format_conversion.pl

或者：

# more /var/log/audit/audit.log | perl -p time_format_conversion.pl

或者：

# head /var/log/audit/audit.log | perl -p time_format_conversion.pl

或者：

# tail /var/log/audit/audit.log | perl -p time_format_conversion.pl

或者：

# tail -f /var/log/audit/audit.log | perl -p time_format_conversion.pl

（补充：这里以使用名为 time_format_conversion.pl 的用于转换 auditd 日志时间格式的脚本为例）

方法二：使用 /usr/sbin/ausearch 命令实现 adutitd 日志时间格式的转换

# /usr/sbin/ausearch --start $(date +\%m/\%d/\%Y -d "-1 month") -i --input-logs | egrep "/sftp*[0-9a-zA-Z].*txt.*nametype=" | grep -v Log.txt | awk '{print $2,$3,$6}' | uniq

（补充：这里以显示在 /sftp 目录下以 txt 结尾的文件的 auditd 日志为例）

内容一：auditd 的管理

1.1 启动 auditd

1.1.1 启动 auditd

1.1.2 查看 auditd 状态

1.1.3 设置 auditd 开机自启

1.1.4 查看 auditd 开机自启状态

1.2 查看 auditd 的规则

1.3 删除 auditd 的规则

1.3.1 永久删除 auditd 的所有规则

1.3.1.1 清空 /etc/audit/audit.rules 文件里的所有内容

1.3.1.2 让刚刚的设置生效

1.3.2 临时删除 auditd 的规则

1.3.2.1 临时删除 auditd 的所有规则

1.3.2.2 临时删除 auditd 的普通规则 （以 -w 开头的规则）

1.3.2.3 临时删除 auditd 的使用系统调用和过滤条件的监控规则 （以 -a 开头的规则）

1.4 显示 auditd 日志

1.4.1 显示 auditd 的所有日志

1.4.2 显示某文件或目录的日志

1.4.3 显示某关键词的日志

1.5 生成 auditd 日志报告

内容二：auditd 的规则

2.1 普通监控规则

2.1.1 普通监控规则的格式

2.1.1.1 普通监控规则的格式

2.1.1.2 添加普通监控规则的格式

2.1.1.2.1 临时添加普通监控规则的格式

2.1.1.2.2 永久添加普通监控规则的格式

2.1.2 添加普通监控规则的案例

2.1.2.1 案例一：添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化的规则

2.1.2.2 案例二：添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化，并设置关键词为 nginx 的规则

2.2 使用系统调用和过滤条件的监控规则

2.2.1 使用系统调用和过滤条件的监控规则的格式

2.2.1.1 使用系统调用和过滤条件的监控规则的格式

2.2.1.2 添加使用系统调用和过滤条件的监控规则的格式

2.2.1.2.1 临时添加使用系统调用和过滤条件的监控规则的格式

2.2.1.2.2 永久添加使用系统调用和过滤条件的监控规则的格式

2.2.2 使用系统调用和过滤条件的监控规则的案例

2.2.2.1 案例一：监控所有 UID 大于 1000 的用户的删除操作，并设置关键词为 delete

2.2.2.2 案例二：监控所有 UID 大于 1000 的用户的文件删除操作，并设置关键词为 delete

2.2.2.3 案例三：监控所有网络连接

内容一：组的成员管理

1.1 把用户添加到组里

1.1.1 把某个用户添加到某个组

1.1.2 把多个用户添加到某个组

2.2 把用户从组里删除

2.2.1 把某个用户从某个组里删除

2.2.2 把多个用户添加到某个组

2.3 将某个用户设置为组的管理员

内容三：组的密码管理

3.1 给某个组设置密码

3.2 删除某个组的密码

内容四：组的登录管理

内容五：显示帮助信息

黑客发现阶段

黑客列举阶段和黑客立足阶段

黑客保持持久性阶段

黑客掩盖痕迹阶段

方法一：通过 auditd 配置文件设置

1.1 设置 auditd 日志的保存时间

1.2 让设置的 auditd 时间生效

方法二：通过 logrotate 配置文件设置

2.1 设置 auditd 日志的保存时间

2.2 让设置的 auditd 时间生效

方法一：通过创建额外的脚本实现 adutitd 日志时间格式的转换

1.1 创建用于 auditd 转换日志时间格式的脚本

1.2 转换 auditd 日志时间格式

方法二：使用 /usr/sbin/ausearch 命令实现 adutitd 日志时间格式的转换

1.3.2.2 临时删除 auditd 的普通规则（以 -w 开头的规则）

1.3.2.3 临时删除 auditd 的使用系统调用和过滤条件的监控规则（以 -a 开头的规则）