| 加固项 | 账号变更审计 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 高 |
| 基线 | 账号增删改全程可追溯 |
规则与查询
规则与查询
-a always,exit -F arch=b64 -S setuid,setgid,setreuid,setregid -k privesc
-a always,exit -F path=/usr/sbin/useradd -F perm=x -k user_mgmt
-a always,exit -F path=/usr/sbin/usermod -F perm=x -k user_mgmt
-a always,exit -F path=/usr/sbin/userdel -F perm=x -k user_mgmt
-a always,exit -F path=/usr/sbin/groupadd -F perm=x -k user_mgmt
ausearch -k user_mgmt --start today规则要在审计规则文件的靠前位置，且账号管理工具路径以目标系统实际位置为准先做 which 核对。