在Linux系统安全领域，内核安全审计是系统管理员和安全工程师的必修课。本文将通过具体案例，介绍如何使用内核安全审计工具进行日志提取和异常检测。
审计工具基础配置
首先，我们需要启用内核审计功能。通过以下命令加载audit模块：
modprobe audit
然后配置审计规则，例如监控特定目录的访问行为：
auditctl -w /etc/passwd -p rwxa -k passwd_access
此规则将监控对passwd文件的所有读写执行操作，并标记为passwd_access。
日志提取与分析
审计日志默认存储在/var/log/audit/audit.log中。使用以下脚本可快速提取特定事件：
#!/bin/bash
awk -v key="passwd_access" '/type=SYSCALL/ {for(i=1;i<=NF;i++) if($i ~ /key=/) {if($i=="key=\"" key "\"") print $0}}' /var/log/audit/audit.log
该脚本可提取所有与passwd_access相关的系统调用日志。
异常检测实战
通过分析日志，可以构建异常检测规则。例如，检测非root用户对敏感文件的访问：
#!/bin/bash
awk -F"|" '/type=SYSCALL/ {if($13=="passwd_access") {print $1,$7,$8}}' /var/log/audit/audit.log | grep -v "uid=0"
此脚本将筛选出非root用户访问passwd文件的记录，便于进一步审查。
高级技巧
结合ausearch工具可进行更复杂的查询：
ausearch -k passwd_access --success
该命令可查找所有成功的passwd_access事件，有助于快速定位合法操作。
在实际部署中，建议定期轮询审计日志，并设置告警机制，确保及时响应安全威胁。
讨论