AUDIT: Auditoria de arquivos no Linux para conhecer quem fez alterações em arquivos

ericitaquera

Como fazer auditoria de eventos tais quais leitura/escrita etc? Como eu posso usar o audit para ver quem alterou um arquivo no Linux? Eis a solução.

[ Hits: 81.299 ]

Por: Eric Miranda em 09/01/2009 | Blog: http://slackade.blogspot.com/

2 0

Denuncie Favoritos Indicar Impressora

Tarefa: instalar o pacote audit

O pacote audit contém os utilitários de espaço de usuário para armazenamento e pesquisa dos registros gerados pelo sistema audit do kernel 2.6. CentOS/Red Hat e Fedora core incluem o pacote rpm no audit em suas distribuições oficiais. Utilize o yum ou up2date para instalar o pacote.

# yum install audit
ou
# up2date install audit

Para configurar o serviço para iniciar durante a inicialização do sistema:

# ntsysv
ou
# chkconfig auditd on

Inicie então o serviço do audit:

# /etc/init.d/auditd start

Página anterior Próxima página

Páginas do artigo

   1. Introdução
   2. Tarefa: instalar o pacote audit
   3. Como configurar a monitoração de um arquivo para auditoria?
   4. Como eu descubro quem alterou ou acessou o arquivo /etc/passwd?

Outros artigos deste autor

Nenhum artigo encontrado.

Leitura recomendada

Instalando o PFSense em uma máquina virtual

Construindo um Log Server utilizando Linux, Unix e Windows

SAMSB - Snort + Apache2 + MySQL + Snorby e BarnYard2 no Debian

PFSense com Snort

Lynis: Sistema de auditoria e segurança para Linux

Comentários

[1] Comentário enviado por evilrick em 09/01/2009 - 15:51h

Muito bom.
Esse é o tipo de serviço necessário para qualquer administrador de sistemas de qualquer tipo de organização.
O problema (se é que dá para chamar assim :P ) parece ser apenas o volume de informações gerado.

0 0

[2] Comentário enviado por ericitaquera em 10/01/2009 - 00:27h

Este é o primeiro artigo que eu publico nesse site. Pensei que daria para editar / acrescentar mais coisas.

A configuração padrão realmente gera muito dado. Mas é facilmente customizável.

Por exemplo, se vc quiser excluir os eventos gerados pelo cron.

# auditctl -a exit,never -x crond
# auditctl -a entry,never -x crond

flw!

0 0