PID 进程的 ubuntu auditd 规则

简介

在 Ubuntu 操作系统中，Process ID (PID) 是用来唯一标识运行的进程的数字。auditd 是一个 Linux 审计系统，它可以用来监控和记录系统上的各种活动。通过配置 auditd 规则，可以捕获与 PID 进程相关的事件并生成相应的日志。

本文将介绍如何使用 auditd 配置规则来监控和记录 PID 进程的活动，并为您提供一些常用的规则示例。

安装与配置 auditd

在开始使用 auditd 之前，首先需要确保已经将其安装在您的 Ubuntu 操作系统上。您可以使用以下命令来安装 auditd：

sudo apt-get install auditd

安装完成后，您还需要对 auditd 进行一些基本的配置。编辑 /etc/audit/audit.rules 文件，添加或修改以下行：

# 忽略一些已知且无关的系统调用
-a exit,never -F arch=b64 -S clock_adjtime,clock_gettime,clock_nanosleep

# 配置要监控的规则
-w /proc -p wa -k pid_process

以上规则将监控 /proc 目录下的所有文件和子目录的创建、修改和删除操作，并将生成的日志标记为 pid_process。

保存文件后，重新加载 auditd 配置：

sudo service auditd reload

查看和分析 PID 进程日志

一旦配置好了 auditd 规则，生成的 PID 进程日志将会保存在 /var/log/audit/audit.log 文件中。您可以使用 ausearch 命令来查看和分析这些日志：

ausearch -k pid_process

上述命令会列出所有标记为 pid_process 的日志事件。根据您的具体需求，可以使用不同的选项来组合和筛选日志。

示例规则

下面是一些常用的示例规则，您可以根据需要进行修改和配置：

监控指定 PID 进程的执行

-a exit,always -S execve -F pid=<PID> -k pid_execution

这个规则将监控指定 PID 进程（将 <PID> 替换为实际的进程 ID）的执行情况，并将生成的日志标记为 pid_execution。

监控所有 PID 进程的文件操作

-w /proc -p wa -F auid>=1000 -k pid_file_operation

这个规则将监控所有 PID 进程对 /proc 目录下文件和子目录的创建、修改和删除操作。仅当用户 ID（auid）大于等于 1000 时（即非特权用户），才会生成相应的日志，并将其标记为 pid_file_operation。

总结

通过配置 auditd 规则，您可以监控和记录与 PID 进程相关的事件，并生成相应的日志。本文介绍了 auditd 的安装与配置，以及一些常用的 auditd 规则示例。根据您的需求，您可以根据这些示例来自定义您自己的 auditd 规则。