| 加固项 | 权限变更审计 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 中 |
| 基线 | 权限变更记录可追溯 |
规则与查询
规则与查询
-a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F auid>=1000 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=b64 -S chown,fchown,fchownat,lchown -F auid>=1000 -F auid!=4294967295 -k perm_mod
-w /etc -p wa -k etc_perm
ausearch -k perm_mod --start today | head -30auid>=1000 过滤只留交互登录用户的操作：把系统守护进程的噪声先挡在门外。