Ders 2.51: Bir kişinin çalıştırdığı her programı denetlemek

Kabuk geçmişi kapatılabilir, düzenlenebilir ya da atlatılabilir; çekirdeğin denetim sistemi sıradan bir kullanıcı tarafından atlatılamaz. execve üzerine bir sistem çağrısı kuralı, giriş yapmış bir kişinin başlattığı her programı tam komut satırı, çalışma dizini ve arkasındaki giriş kimliğiyle kaydeder. Laboratuvarda Northwind'in İK dosya sunucusunda dünden beri böyle bir kural var. Kuralları okuyor, neyin kim tarafından çalıştırıldığını özetliyor, bir yüklenicinin bordroyu listelemekten yüklemeye kadar oturumunu izliyor, ham bir kaydı çözüyor ve kuralın açık bıraktığı 32 bitlik bir boşluğu kapatıyorsun.

19 dk

Bu derste öğreneceklerin

Yüklü denetim kurallarını ve durumu okumak
Bir execve sistem çağrısı kuralını ve süzgeçlerini açıklamak
Etkinliği aureport ile özetlemek
Bir kullanıcının komutlarını ausearch ile izlemek
Ham kayıtları çözmek ve iki ABI'yi de kapsamak

Temel terimler

Linux denetimi: Kurallara uyan olayları kaydeden bir çekirdek alt sistemi; auditd onları /var/log/audit/audit.log'a yazar.
Sistem çağrısı kuralı: -a always,exit -S AD: o sistem çağrısı her döndüğünde kaydet; -F ile süzülür.
auid (giriş UID'si): Bir kişinin giriş yaptığı UID; sudo ya da su ile değişmez.
arch=b64 / b32: Kuralın hangi sistem çağrısı tablosunu izlediği; 32 bitlik programlar b32 kullanır.
ausearch / aureport: Olayları anahtara, kullanıcıya, programa, zamana göre ara / özetle.
PROCTITLE: Tam komut satırı; ham kayıtlarda onaltılık kodlanmış.

← Bellek sınırları ve OOM öldürücüsü · Tüm dersler · Bir bellek imajında gizli süreçleri bulmak →