跳到主要内容

Ubuntu 安全审计

介绍​

安全审计是确保系统安全性的重要步骤。它涉及对系统的全面检查，以识别潜在的安全漏洞、配置错误和未授权的更改。在Ubuntu系统中，安全审计可以帮助管理员发现并修复安全问题，从而保护系统免受攻击。

安全审计的重要性​

安全审计的主要目的是：

  • 识别漏洞：发现系统中可能被攻击者利用的弱点。
  • 验证配置：确保系统配置符合安全最佳实践。
  • 监控活动：跟踪系统中的用户活动和文件更改，以检测异常行为。

安全审计工具​

Ubuntu提供了多种工具来进行安全审计。以下是一些常用的工具：

1. Lynis​

Lynis 是一个开源的安全审计工具，适用于Linux和Unix系统。它可以扫描系统并生成详细的报告，帮助管理员识别安全问题。

安装 Lynis​

sudo apt-get update
sudo apt-get install lynis

运行 Lynis​

sudo lynis audit system

输出示例​

[+] Boot and services
  - Service 'apache2' is running
  - Service 'ssh' is running
[+] Kernel
  - Kernel version: 5.4.0-42-generic
  - SELinux status: Disabled

2. Auditd​

Auditd 是Linux内核的审计框架，用于监控系统调用和文件访问。它可以帮助管理员跟踪系统中的敏感操作。

安装 Auditd​

sudo apt-get install auditd

配置 Auditd​

编辑 /etc/audit/audit.rules 文件，添加以下规则以监控 /etc/passwd 文件的更改：

-w /etc/passwd -p wa -k passwd_changes

查看审计日志​

sudo ausearch -k passwd_changes

输出示例​

time->Mon Oct 10 12:34:56 2023
type=SYSCALL msg=audit(1696948496.123:456): arch=c000003e syscall=2 success=yes exit=3 a0=7ffd12345678 a1=0 a2=1 a3=7ffd12345678 items=1 ppid=1234 pid=5678 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=1 comm="vi" exe="/usr/bin/vi" key="passwd_changes"

实际案例​

案例1：检测未授权的用户​

假设你怀疑系统中存在未授权的用户，可以使用以下命令检查 /etc/passwd 文件中的用户：

cat /etc/passwd

如果发现可疑用户，可以使用 auditd 监控该用户的登录活动。

案例2：监控敏感文件的更改​

假设你希望监控 /etc/shadow 文件的更改，可以在 auditd 中添加以下规则：

-w /etc/shadow -p wa -k shadow_changes

然后使用 ausearch 查看相关日志：

sudo ausearch -k shadow_changes

总结​

安全审计是确保Ubuntu系统安全的重要步骤。通过使用工具如Lynis和Auditd，管理员可以识别漏洞、验证配置并监控系统活动。定期进行安全审计可以帮助保护系统免受潜在威胁。

附加资源​

练习​

  1. 安装并运行Lynis，查看生成的报告。
  2. 配置Auditd，监控 /etc/ssh/sshd_config 文件的更改。
  3. 使用 ausearch 查看监控日志，分析是否有异常活动。

通过以上步骤，你将能够更好地理解和应用Ubuntu安全审计的概念。