| 加固项 | 访问失败审计 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 中 |
| 基线 | 越权尝试可发现 |
规则与查询
规则与查询
-a always,exit -F arch=b64 -S open,openat,truncate,ftruncate,creat -F exit=-EACCES -F auid>=1000 -F auid!=4294967295 -k access_denied
-a always,exit -F arch=b64 -S open,openat -F exit=-EPERM -F auid>=1000 -F auid!=4294967295 -k access_denied
ausearch -k access_denied -ts today | head -30失败访问是入侵线索金矿也是噪声大户：按需缩短查询窗口，别把全量结果直接倒进分析。