どうも、smorisakiです。
今日は、以前調べたauditdについて書きます。
auditdは名前の通り監査の為に使用するものです。監査という言葉は最近SOX法等でよく聞きますよね。
私の好きなwikipediaにて「監査」を調べると、以下とあります。
>監査(かんさ、auditまたはauditing)とは、ある事象・対象に関して、一定の規準に照らして証拠を収集し、その証拠に基づいて何らかの評価を行い、評価結果を利害関係者に伝達すること。
上記意味からすると、ある基準を設定し、そのログを取得する機能を持ったデーモンということになります。
前置きはこの位にして実際の使用方法は以下となります。
今回は、ファイルをコピーするコマンドcpを実行した場合にログを出力する設定をしてみます。
実行環境は以下となります。
OS:CentOS4、auditd:1.0.12-1.EL4
(1)まず/etc/audit.rulesにログを取得する条件(cpを実行した場合)を記述します。
-a entry,never -S access・・・1
-w /bin/cp ・・・2
意味を説明します。
まず1はシステムコールaccessに対して監視をしない(never)。
2は「/bin/cp」という文字列を監視する。
(2)auditdサービスを起動します。
# service auditd start
(3)適当にcpコマンドを実行して下さい
$ cp test1 test2
/var/log/audit/auditd.logを確認すると以下の様なログが出力されています。
type=SYSCALL msg=audit(1176221346.715:116): arch=40000003 syscall=5 success=yes exit=3 a0=bffbbc44 a1=8000 a2=0 a3=8000 items=1 pid=19544 auid=4294967295 uid=500 gid=501 euid=500 suid=500 fsuid=500 egid=501 sgid=501 fsgid=501 comm="cp" exe="/bin/cp"
・・・・・・
見難いですがログからは、uid500がcpを実行したことが見て取れます。
今回は例として書きましたが、もっとちゃんとした設定を書けば見やすいログが取得出来るかもしれません。(誰か考えて下さい 笑)
最近のコメント