hana_shinのLinux技術ブログ読者になるhana_shinのLinux技術ブログLinuxの技術情報を掲載しています。ネットワークをメインに掲載していきます。ausearchコマンドとは?Auditデーモン(auditd)が出力する監査ログを検索するコマンドです。監査ログはシステム運用者が実行した操作履歴で、デフォルトで/var/log/audit/audit.logに出力されます。監査者が監査ログを調査することで,いつ、だれが、何をしたか、を知ることができます。監査に関するコマンドとして以下のものがあります。Auditデーモンの設定ファイルAuditデーモンの設定は、/etc/audit/auditd.confで行います。監査ログの出力先、監査ログファイル数等を定義します。Audtitルールの定義Audtitルールの定義には、以下の3つがあります。これらのルールは、auditctlコマンドで設定するか、/etc/audit/audit.rulesに設定します。検証環境CentOS版数は以下のとおりです。(Core)カーネル版数は以下のとおりです。-r3.10.0-1160.el7.x86_64ausearchコマンドの版数は以下のとおりです。人が見やすい形式に変換する方法(-i)audit.logは、そのままだと時刻がUNIX時間だったり、PIDが数値のままで分かりずらいです。以下のログは、オプション指定なしのときのログになります。key=(null)-snip-"-i"オプションを使うと、UNIX時間を現在時刻に変換したり、PIDをアカウント名に変換することができます。今日出力されたログに絞り込む方法(today)今日のログを表示してみます。00:00から10:20までのログを表示することになります。今週出力されたログを絞り込む方法(this-week)今週出力されたログを表示してみます。日曜日から現在までのログを表示します。ログの1行目の2022年02月13日は日曜日です。月で絞り込む方法(this-month)今月出力されたログを表示してみます。1日から現在までのログを表示します。昨日から今日に出力されたログを絞り込む方法(yesterday,today)昨日から現在までのログを表示してみます。直近に出力されたログに絞り込む方法(recent)直近とは10分前を意味します。現在時刻は10:48:14なので、10:38:14以降のログが出力されることになります。JST直近10分前のログを表示してみます。時刻で絞り込む方法(-ts:開始,-te:終了)本日の14:50:00から14:50:01の間に出力されたログを表示してみます。システムコール種別で絞り込む方法(-sc)writeシステムコールのログだけを出力してみます。最初に条件にヒットしたものを表示する方法(--just-one)setsockoptシステムコールのログは全部で38872個あることがわかります。-l3887238872個のログの中から最初のログを表示してみます。SERVICE_START)httpdサービスを起動します。httpd.serviceサービス開始時のログを表示してみます。SERVICE_STOP)httpdサービスを終了します。httpd.serviceサービス終了時のログを表示してみます。失敗で絞り込む方法(no)localhostにsshでログインします。このとき、故意にパスワードを間違えてみます。password:パスワードを間違えると、以下のログが出力されます。プロセスIDで絞り込む方法(-p)rsyslogdのログを出力してみます。psコマンドを実行すると、rsyslogdのPIDは1088であることがわかります。私が業務や記事執筆で参考にした書籍を以下のページに記載します。)はてなブログをはじめよう!hana_shinさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。