EC2 Linux 인스턴스의 사용자 활동, 파일 변경 및 디렉터리 변경을 추적하도록 Linux 감사 규칙을 구성하려면 어떻게 해야 하나요?

간략한 설명

감사 대몬(daemon)(auditd)은 Linux 감사 시스템의 사용자 공간 구성 요소입니다. auditd를 사용하여 파일 및 디렉터리에 액세스하거나 수정하는 사용자 또는 애플리케이션을 추적합니다. auditd를 사용하여 특정 명령을 실행하는 사용자를 식별할 수도 있습니다.

해결 방법

auditd를 사용하여 활동을 추적하려면, 다음 단계를 완료합니다.

1. SSH를 사용하여 EC2 인스턴스에 ec2-user/ubuntu/root user로 연결합니다. ubuntu를 Amazon Machine Image(AMI)의 사용자 이름으로 바꿉니다.

2. 감사 패키지를 설치합니다.

   RHEL 및 CentOS

   # sudo yum install audit

   SUSE Linux

   # sudo zypper install audit

   Ubuntu

   # sudo apt install auditd

3. auditctl 명령을 실행하여 감사 규칙을 만듭니다. 감사 규칙 정의는 /etc/audit/audit.rules 파일에 있습니다. 사용자 지정 감사 규칙 정의는 /etc/audit/rules.d/custom.conf 파일에 있습니다. 이러한 정의는 영구적입니다. 런타임에 규칙을 구현할 수도 있습니다.

   예제 규칙

   특정 파일 또는 디렉터리에 액세스하거나 수정하는 사용자 또는 애플리케이션을 추적합니다.

   # sudo auditctl -a always,exit -F arch=b64 -S rename,rmdir,unlink,unlinkat,renameat -F auid\>=500 -F auid\!=-1 -F dir=/root/test/ -F key=delete

   특정 명령을 실행하는 사용자를 식별합니다. 다음 예에서 명령은 sudo입니다.

   # sudo auditctl -w /bin/sudo -p rwxa -k sudo

   이 예에서는 다음 구문 목록을 사용합니다.

   -a - 새 규칙을 추가합니다.
   -w - 특정 경로에 파일 시스템 객체에 대한 감시를 삽입합니다(예: /etc/shadow. ). -p - 파일 시스템에 대한 사용 권한 필터를 설정합니다.
   -k - 감사 규칙에 필터 키를 설정합니다. 필터 키는 규칙이 생성하는 감사 레코드를 고유하게 식별합니다.
   -F - 이 필드를 사용하여 아키텍처, PID, GID, 보조 도구 등과 같은 추가 옵션을 지정합니다.
   -S - 시스템 호출에 이 필드를 사용합니다. 이름 또는 번호입니다.

   구문 및 스위치의 전체 목록은 die.net Linux 설명서 페이지에서 auditctl(8) 및 audit.rules(7)를 참조합니다.

   참고: 재부팅 후에도 규칙이 지속되도록 하려면, audit.rules을 편집한 다음, 파일에 다음 규칙을 추가합니다.

   RHEL 6, CentOS 6 또는 Amazon Linux 1:

   #sudo vi /etc/audit/audit.rules
   
   -a always,exit -F arch=b64 -S rename,rmdir,unlink,unlinkat,renameat -F auid>=500 -F auid!=-1 -F dir=/root/test/ -F key=delete
   -w /bin/sudo -p rwxa -k sudo

   RHEL 7, CentOS 7, Amazon Linux 2 또는 Amazon Linux 2023:

   # sudo vi /etc/audit/rules.d/audit.rules
   
   -a always,exit -F arch=b64 -S rename,rmdir,unlink,unlinkat,renameat -F auid>=500 -F auid!=-1 -F dir=/root/test/ -F key=delete
   -w /bin/sudo -p rwxa -k sudo

4. auditd 서비스를 다시 시작합니다. 부팅 시 auditd 서비스가 실행되도록 설정합니다.

   # sudo chkconfig auditd on
   # sudo service auditd start
   # sudo service auditd stop
   # sudo service auditd restart

   참고: CentOS 및 Red Hat Enterprise Linux(RHEL) 7에서 auditd 서비스를 다시 시작할 때는 systemctl 명령 대신 service 명령을 사용하는 것이 가장 좋습니다. systemctl 명령은 오류를 일으킬 수 있습니다.

5. 감사 로그를 읽으려면, ausearch 명령을 실행합니다.

   감사 로그 예제

   다음 예제에서는, 사용자 ec2-user(uid = ec2-user)가 파일 /root/test/example.txt을 삭제했습니다.

   # sudo ausearch -i -k delete
   type=PROCTITLE msg=audit(04/04/20 19:41:51.231:3303) : proctitle=rm -rf /root/test/example.txt
   type=PATH msg=audit(04/04/20 19:41:51.231:3303) : item=1 name=/root/test/example.txt inode=16777349 dev=ca:01 mode=file,777 ouid=root ogid=root
   rdev=00:00 nametype=DELETE cap_fp=none cap_fi=none cap_fe=0 cap_fver=0
   type=PATH msg=audit(04/04/20 19:41:51.231:3303) : item=0 name=/tmp/test/ inode=16777328 dev=ca:01 mode=dir,777 ouid=root ogid=root rdev=00:00 nametype=PARENT cap_fp=none cap_fi=none
   cap_fe=0 cap_fver=0
   type=CWD msg=audit(04/04/20 19:41:51.231:3303) : cwd=/home/ec2-user
   type=SYSCALL msg=audit(04/04/20 19:41:51.231:3303) : arch=x86_64 syscall=unlinkat success=yes exit=0 a0=0xffffff9c a1=0xc5f290 a2=0x0 a3=0x165 items=2 ppid=3645
   pid=933 auid=ec2-user uid=ec2-user gid=ec2-user euid=ec2-user suid=ec2-user fsuid=ec2-user egid=ec2-user sgid=ec2-user fsgid=ec2-user tty=pts0 ses=1 comm=rm exe=/usr/bin/rm key=delete

   다음 예제에서는, 사용자 ec2-user(uid= 1000)가 sudo 권한으로 sudo su - 명령을 실행했습니다.

   # sudo ausearch -k sudo
   
   time->Mon Apr  6 18:33:26 2020
   type=PROCTITLE msg=audit(1586198006.631:2673): proctitle=7375646F007375002D type=PATH msg=audit(1586198006.631:2673): item=1 name="/lib64/ld-linux-x86-64.so.2" inode=5605 dev=103:05 mode=0100755 ouid=0 ogid=0 rdev=00:00 objtype=NORMAL cap_fp=0000000000000000 cap_fi=0000000000000000 cap_fe=0 cap_fver=0
   type=PATH msg=audit(1586198006.631:2673):
    item=0 name="/usr/bin/sudo" inode=12800710 dev=103:05 mode=0104111 ouid=0 ogid=0 rdev=00:00 objtype=NORMAL cap_fp=0000000000000000 cap_fi=0000000000000000 cap_fe=0 cap_fver=0
   type=CWD msg=audit(1586198006.631:2673):  cwd="/home/ec2-user"
   type=EXECVE msg=audit(1586198006.631:2673): argc=3 a0="sudo" a1="su" a2="-"
   type=SYSCALL msg=audit(1586198006.631:2673): arch=c000003e syscall=59 success=yes exit=0 a0=e8cce0 a1=e8c7b0 a2=e61720 a3=7ffde58ec0a0 items=2 ppid=2658 pid=3726 auid=1000 uid=1000 gid=1000 euid=0 suid=0 fsuid=0 egid=1000 sgid=1000 fsgid=1000
   tty=pts0 ses=4 comm="sudo" exe="/usr/bin/sudo" key="script"