| 加固项 | 关键文件审计 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 高 |
| 基线 | 身份与提权文件全部纳入监控 |
写入规则并装载
写入规则并装载
cat >> /etc/audit/rules.d/10-identity.rules << 'EOF'
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/group -p wa -k identity
-w /etc/gshadow -p wa -k identity
-w /etc/sudoers -p wa -k identity
-w /etc/sudoers.d/ -p wa -k identity
EOF
augenrules --load && auditctl -l | grep identity事后查询
事后查询
ausearch -k identity --start this-week | head -40-k 后的 key 是查询线索：所有身份文件改动共用 identity 这个 key，排查时一条命令全部拉出来。