| 加固项 | 内核行为审计 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 高 |
| 基线 | 模块加载与卸载有审计 |
规则与查询
规则与查询
-a always,exit -F arch=b64 -S init_module,finit_module,delete_module -k modules
-a always,exit -F arch=b64 -S kexec_load -k modules
ausearch -k modules --start today
aureport -m modules --summary加载内核模块等于动内核：出现非变更窗口的 modules 记录要立刻排查，可能是恶意驱动。