Alterator-audit

Назначение

Модуль alterator-audit предназнаен для создания правил системы аудита и просмотра отчётов.

Запуск

Модуль alterator-audit доступен в GUI (раздел Система ▷ Системный аудит):

Использование модуля

Запуск/останов службы аудита

Статус службы аудита отображается рядом с полем «Status:». Запустить службу можно нажав на кнопку , остановить нажав на соответственно.

Просмотр лога аудита

Для просмотра записей аудита выберите в списке «Report» необходимый отчёт. Например:

• auth — отчёт о попытках аутентификации
• config — отчёт об изменениях конфигурации
• file — отчёт о файлах
• login — отчёт о попытках входа в систему

Если выбрать тип отчёта - auth, будут выведены сообщения о попытках аутентификации:

При этом указывается дата и время попытки, имя пользователя, адрес хоста, успешность попытки (удачные и неудачные).

Для дополнительной фильтрации данных в отчете можно указать опции фильтра:

• «Success» — только удачные события
• «Failed» — только неудачные события
• «Summary» — информация только о количестве элементов
• «Interplet» — транслировать числовые значения в текстовые
• «time» — задать временные ограничения

Для сохранения выбранных опций нажмите кнопку «Add». Для просмотра логов, удовлетворяющих данным опциям - кнопку «Update»

Добавление/Удаление правил аудита

Для перехода к окну редактирования правил аудита, нажмите на кнопку «Setting Rules». Откроется окно:

В окне Rules отображаются существующие правила и их статус.

Для создания нового правила необходимо:

1. Ввести название правила
2. Добавить точку наблюдения за файловым объектом (указать путь к файлу (каталогу), за которым будет осуществляться наблюдение)
3. Установить фильтр прав доступа для точки наблюдения (чтение, запись, исполнение, изменение атрибутов)
4. Отметить пункт «Активировать правило» («Activate rule»)
5. Нажать кнопку «Добавить правило» («Add rule»)

Для более тонкой настройки правил необходимо отметить пункт «Expert mode». Окно редактирования правил, в расширенном режиме:

В этом окне можно выбрать список событий, в который следует добавить правило (список «Rule»):

Доступны следующие списки:

1. task - список, отвечающий за процессы
2. entry - список, отвечающий за точки входа системных вызовов
3. exit - список, отвечающий за точки выхода из системных вызовов
4. user - список фильтрации пользовательских сообщений
5. exclude - список фильтрации сообщений определённого типа.

Далее выбирается действие «Action», которое должно произойти в ответ на возникшее событие:

• always - генерировать запись при выходе из системного вызова
• newer - аудит не будет генерировать никаких записей

В поле «Syscall» указывается имя системного вызова, при обращении к которму должен срабатывать триггер (например, open, close, exit).

Дополнительные можно настроить параметры фильтрации событий. Для этого в первом списке нужно выбрать объект поля сравнения:

Затем задать операцию сравнения. Допустимые операции выбираются в списке:

Далее необходимо ввести значение поля сравнения и нажать кнопку «Add filter».

Фильтров может быть задано несколько:

Для возврата в главное окно необходимо нажать кнопку «Back».