改 DNS 与 hosts 往往是前兆
网络配置变更审计关注的是主机名、域名解析与网络接口配置这些文件：/etc/hosts、/etc/resolv.conf、各发行版的网络配置目录，以及 sethostname、setdomainname 这类系统调用。攻击者篡改解析记录或主机名，常是为了劫持更新源、引导流量或隐藏挖矿连接。这些记录在应急复盘中价值很高，因为改动时间与操作身份都能直接查出来。
基本信息
| 适用平台 | Linux（auditd） |
|---|---|
| 监控对象 | /etc/hosts、/etc/resolv.conf、网络配置目录、主机名相关系统调用 |
| 规则类型 | 文件写入与属性变更（-p wa）、系统调用（sethostname、setdomainname） |
| 检索方式 | ausearch -k netconfig |
| 风险等级 | 中 |
典型使用场景
- 入侵排查：确认解析记录是否被篡改
- 合规要求：等保对重要配置文件的变更审计有明确条款
- 变更溯源：定位是谁在什么时候修改了网络配置
- 应急响应：结合改动时间还原攻击链
- 运维治理：区分正常变更与异常改动，减少误判
规则与查询
规则与查询
-w /etc/hosts -p wa -k netconfig
-w /etc/resolv.conf -p wa -k netconfig
-w /etc/sysconfig/network-scripts/ -p wa -k netconfig # RHEL 系
-w /etc/netplan/ -p wa -k netconfig # Ubuntu
-w /etc/NetworkManager/ -p wa -k netconfig # 网络管理服务配置
-a always,exit -F arch=b64 -S sethostname,setdomainname -k netconfig
ausearch -k netconfig --start this-week -i | head -30记录字段读法
| 字段 | 含义 | 判读要点 |
|---|---|---|
| type=PATH | 被访问的文件路径 | 关注是否为解析或网络配置文件 |
| nametype | 动作类型（NORMAL/CREATE） | 出现 CREATE 说明新建了文件 |
| auid | 登录会话原始用户 | 非运维账号的改动需要核实 |
| syscall=sethostname | 主机名被修改 | 非变更窗口内的修改属可疑 |
| comm | 发起进程名 | 如为临时目录下的程序即高度可疑 |
主机名与 DNS 被改是应急排查的高价值线索：这条规则的记录在事件复盘中非常好用，能直接给出改动时间与操作者。
落地要点
- 按发行版补齐配置目录路径：RHEL 系、Ubuntu 与使用 NetworkManager 的系统路径不同
- resolv.conf 可能被服务动态重写，判断时要结合服务运行状态
- 把 key 统一为 netconfig，便于集中检索与统计
- 规则变更后确认已加载并处于启用状态
- 结合集中日志平台，避免本地记录被清理后失去线索
变更窗口内的网络配置调整属于正常操作：判断异常要结合变更单与时间线，避免把正常运维误判为入侵。