使用 Auditbeat 模塊監(jiān)控 shell 命令
Auditbeat Audited 模塊可以用來監(jiān)控所有用戶在系統(tǒng)上執(zhí)行的 shell 命令。在終端用戶偶爾才會登錄的服務器上，通常需要進行監(jiān)控。
該示例是在 CentOS Linux 7.6 上使用 Auditbeat 7.4.2 RPM 軟件包和 Elasticsearch Service（ESS）[https://www.elastic.co/products/elasticsearch/service]上的 Elastic Stack ] 7.4.2 部署的。

可以參考其中的思路，配置流程等，使用本機自建的ES，不使用Elasticsearch Service（ESS）集群

禁用 Auditd

系統(tǒng)守護進程 auditd 會影響 Auditbeat Audited 模塊的正常使用，所以必須將其禁用。

# 停止 auditd：
service auditd stop
# 禁用服務：
systemctl disable auditd.service

如果您在使用 Auditbeat Auditd 模塊的同時也必須要運行 Audited 進程，那么在內(nèi)核版本為 3.16 或者更高的情況下可以考慮設置 socket_type: multicast 參數(shù)。默認值為 unicast。有關(guān)此參數(shù)的更多信息，請參見文檔[https://www.elastic.co/guide/en/beats/auditbeat/master/auditbeat-module-auditd.html#_configuration_options_14]的配置選項部分。

配置 Auditbeat

Auditbeat 守護進程將事件數(shù)據(jù)發(fā)送到一個 Elasticsearch Service（ESS）集群中。有關(guān)更多詳細信息，請參見文檔Auditbeat[https://www.elastic.co/guide/en/beats/auditbeat/master/configuring-howto-auditbeat.html]
中的配置部分。
要想獲取工作示例，必須配置 Auditbeat 的 cloud.id 和 cloud.auth 參數(shù)，詳情參見此文檔[https://www.elastic.co/guide/en/beats/auditbeat/master/configure-cloud-id.html]。
編輯 /etc/auditbeat/auditbeat.yml：

cloud.id: <your_cloud_id>
cloud.auth: ingest_user:password

如果您要將數(shù)據(jù)發(fā)送到 Elasticsearch 集群（例如本地實例），請參見此文檔：[https://www.elastic.co/guide/en/beats/auditbeat/master/configure-cloud-id.html]。

Auditbeat 模塊規(guī)則

Audited 模塊訂閱內(nèi)核以接收系統(tǒng)事件。定義規(guī)則以捕獲這些事件，并且使用Linux Auditctl 進程所使用的格式，詳情參見此文檔：[https://linux.die.net/man/8/auditctl]。

# cat /etc/auditbeat/audit.rules.d/rules.conf
-a exit,always -F arch=b64 -F euid=0 -S execve -k root_acct
-a exit,always -F arch=b32 -F euid=0 -S execve -k root_acct
-a exit,always -F arch=b64 -F euid>=1000 -S execve -k user_acct
-a exit,always -F arch=b32 -F euid>=1000 -S execve -k user_acct

• euid 是用戶的有效ID。0 代表會獲取 root 用戶和 uid >=1000 或者權(quán)限更高的其他用戶的所有活動。
• -k 用于為事件分配任意“鍵”，它將顯示在 tags 字段中。它還可以在 Kibana 中用來對事件進行過濾和分類。

Auditbeat 設置命令

運行Auditbeat 加載索引模板，讀取 node pipelines，索引文件周期策略和Kibana 儀表板。
auditbeat -e setup
如果您不使用ESS，歡迎參考此文檔[https://www.elastic.co/guide/en/beats/auditbeat/current/setup-kibana-endpoint.html] 來設置您的 Kibana 端點。

開始使用

systemctl start auditbeat

# 列出啟用的規(guī)則：
auditbeat show auditd-rules
-a never,exit -S all -F pid=23617
-a always,exit -F arch=b64 -S execve -F euid=root -F key=root_acct
-a always,exit -F arch=b32 -S execve -F euid=root -F key=root_acct
-a always,exit -F arch=b64 -S execve -F euid>=vagrant -F key=user_acct
-a always,exit -F arch=b32 -S execve -F euid>=vagrant -F key=user_acct

監(jiān)控數(shù)據(jù)

當用戶執(zhí)行一些類似于 whoami，ls 以及 lsblk 的 shell 命令時，kibana 中就會發(fā)現(xiàn)這些事件。

• Kibana 會顯示出 user.name，process.executable，process.args 和 tags 這些選定的字段。
• 過濾的字段是 user.name: root 和 auditd.data.syscall: execve。
• 每秒刷新一次數(shù)據(jù)。

TTY 審計

當系統(tǒng)中發(fā)生 TTY 事件時，Auditbeat Audited 模塊也可以接收它們。配置system-auth PAM 配置文件以啟用 TTY。只有 root 用戶的 TTY 事件將被實時記錄。其他用戶的事件通常會被緩沖直到 exit。TTY 審計會捕獲系統(tǒng)內(nèi)置命令像pwd，test 等。
追加以下內(nèi)容到 /etc/pam.d/system-auth 便可以對所有用戶啟用審核，關(guān)于 pam_tty_audit 的詳細信息，參見此文檔：[https://linux.die.net/man/8/pam_tty_audit]。
session required pam_tty_audit.so enable=*

測試

$ sudo su -
Last login: Fri Nov 22 23:43:00 UTC 2019 on pts/0
$ helllloooo there!
-bash: helllloooo: command not found
$ exit

Kibana 發(fā)現(xiàn)

思考

Auditbeat 還可以做什么：

• 當一個文件在磁盤上更改（創(chuàng)建，更新或刪除）時可以發(fā)送事件，得益于 file_integrity 模塊，詳情參考此文檔：[https://www.elastic.co/guide/en/beats/auditbeat/current/auditbeat-module-file_integrity.html]。
• 通過 system 模塊發(fā)送有關(guān)系統(tǒng)的指標，詳情參考此文檔：[https://www.elastic.co/guide/en/beats/auditbeat/current/auditbeat-module-system.html]。該鏈接還提供了 Auditbeat 的相關(guān)文檔，詳情參考此文檔：[https://www.elastic.co/guide/en/beats/auditbeat/current/index.html]。

文章轉(zhuǎn)載自：https://mp.weixin.qq.com/s/_-rtOq0KrzbatEVm2Yhsag

到此這篇關(guān)于使用 Auditbeat 模塊監(jiān)控 shell 命令的文章就介紹到這了,更多相關(guān)Auditbeat 模塊shell 命令內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評論