Revisjonskontrollregler er en viktig komponent i Linux-sikkerhetsrammeverket. Revisjonskontrollregler administreres av auditd konfigurasjonsverktøy som auditctl og ausearch og lar systemadministratorer spesifisere når og hvilke sikkerhetsrelevante hendelser som logges.
Nedenfor er en trinn-for-trinn-guide for å definere revisjonskontrollregler i Rocky Linux 8:
1. Åpne revisjonskonfigurasjonsfilen
For å få tilgang til og endre revisjonskontrollregler, må du åpne revisjonskonfigurasjonsfilen. Dette kan oppnås ved å bruke et tekstredigeringsprogram med root-privilegier. I dette eksemplet bruker vi tekstredigeringsprogrammet vi:
```
sudo vi /etc/audit/audit.rules
```
2. Forstå syntaksen for revisjonskontrollregler
Inne i audit.rules-filen vil du møte regler uttrykt i et spesifikt format. Hver regel består av tre hovedkomponenter:
a) Handling:Dette spesifiserer hva som skal gjøres når en regel samsvarer. De to vanlige handlingene er «tillat» og «avslå».
b) Feltspesifikasjoner:Dette bestemmer hvilket aspekt av hendelsen som matches mot regelen. For eksempel samsvarer feltspesifikatoren "comm" mot prosessnavnet, mens "key" samsvarer med den spesifikke nøkkelen.
c) Verdispesifikasjoner:Dette er verdien som vil bli matchet mot når en hendelse inntreffer. Det kan være en enkelt verdi eller et regulært uttrykk.
3. Skrive en revisjonskontrollregel
Med kunnskap om syntaksen for revisjonskontrollregler kan du opprette en ny regel. Som et eksempel, la oss lage en regel som logger alle forsøk på å få tilgang til filen "/etc/passwd":
```
-w /etc/passwd -p wa -k pass_access
```
4. Forklaring av den egendefinerte regelen:
-w: Denne spesifikasjonen samsvarer med filovervåkingshendelser, spesielt alle forsøk på å skrive eller endre filen.
-p: Denne spesifikasjonen fokuserer på tillatelsen og er satt til "wa", som indikerer skrivetilgangsforsøk.
-k: Denne spesifikasjonen setter nøkkelen for regelen til "pass_access", slik at vi enkelt kan søke etter hendelser relatert til denne spesifikke regelen.
5. Lagre revisjonskonfigurasjonen
Når du har laget dine egendefinerte regler, lagre audit.rules-filen ved å trykke Esc-tasten etterfulgt av ":wq" for å lagre og avslutte vi.
6. Start revisjonsdemonen på nytt
For at de nye revisjonskontrollreglene skal tre i kraft, må du starte den reviderte tjenesten på nytt:
```
sudo service revidert omstart
```
7. Bekreft revisjonskontrollreglene
Du kan bekrefte at revisjonskontrollreglene ble implementert vellykket ved å bruke ausearch-kommandoen:
```
ausearch -k pass_access
```
Denne kommandoen vil vise alle hendelser som ble logget i henhold til "pass_access"-nøkkelen du spesifiserte i din egendefinerte regel.
Konklusjon
Revisjonskontrollregler i Rocky Linux 8 gir systemadministratorer detaljert kontroll over sikkerhetsrelatert hendelseslogging. Ved å nøye utforme og implementere disse reglene, kan du oppnå et høyere nivå av systemsikkerhet og samsvar. Husk, alltid vurdere de spesifikke kravene til systemet ditt og se den offisielle Rocky Linux-dokumentasjonen for ytterligere informasjon eller avanserte bruksscenarier.
