Ⅰ linux审计日志可以存多久
Linux的日志文件根据需要，你可以一直保存都可以。
这取决于你的硬盘大小和是否设置定期清除一定日期之前的日志文件。
Ⅱ linux操作系统怎么开启日志审计功能
对于Linux操作审计，当前主要有两种形式。
一种是，通过收取linux操作系统上的日志，来进行审计。优点是全面，内容是零散，缺乏直观性，一般需要专业的软件来收集和呈现，同时由于容易被删除，可能导致关键审计信息缺失问题，以及由于共享账号问题，导致无法定位到人。
另一种是，通过碉堡堡垒机软件来实现审计。优点是全面直观，可以关联到人，确定是只能对远程运维操作进行审计，无法对直接登录操作进行审计。
Ⅲ Linux/Unix如何将日志发送到日志服务器
这篇演示如何通过syslog将Linux和Unix的日志发送到指定的日志审计服务器中。
假设日志服务器IP为：192.168.100.100，需要发送入职的服务器与这台日志服务器之间，路由可达，并有访问权限，请看下面的实例：
服务重启后，就能够在日志服务器上查看到对应的日志输出了，不需要其他多余的配置。
假设日志服务器IP为：192.168.100.100，需要发送入职的服务器与这台日志服务器之间，路由可达，并有访问权限，请看下面的实例：
Ⅳ 怎样可以直观有效的实现，linux和windows操作系统的运维审计
通过堡垒机可以直观有效的实现，linux和windows操作系统的运维审计。 对于Linux操作审计，当前主要有两种形式。一种是，通过收取linux操作系统上的日志，来进行审计。优点是全面，内容是零散，缺乏直观性，一般需要专业的软件来收集和呈现，同时由于容易被删除，可能导致关键审计信息缺失问题，以及由于共享账号问题，导致无法定位到人。另一种是，通过碉堡堡垒机软件来实现审计。优点是全面直观，可以关联到人，确定是只能对远程运维操作进行审计，无法对直接登录操作进行审计。 Windows操作审计，当前更多使用的是读取操作系统日志方式进行审计，但是确认直观性，同时由于共享账号问题，无法审计到人。为了解决基于日志审计的弊端，可以使用碉堡堡垒机软件，先对运维人员进行身份认证，事后审计就可以将运维操作画面直观回放，同时关联到人，但是弊端是无法对直接登录windows系统的操作进行审计，只能对RDP远程操作有效。
Ⅳ linux日志 audit
我们知道在Linux系统中有大量的日志文件可以用于查看应用程序的各种信息，但是对于用户的操作行为（如某用户修改删除了某文件）却无法通过这些日志文件来查看，如果我们想实现监管企业员工的操作行为就需要开启审计功能，也就是audit。
1、首先执行以下命令开启auditd服务
| 1 | service auditd start |
2、接着查看看auditd的服务状态，有两种方法可以实现，使用auditctl命令时主要看enabled是否为1，1为开启，0为关闭
[root@ns-master-c01 ~]``# service auditd status` |
`auditd (pid 20594) is running...
[root@ns-master-c01 ~]``# auditctl -s
| 5 | AUDIT_STATUS: enabled=1 flag=1 pid=20594 rate_limit=0 backlog_limit=320 lost=0 backlog=0 |
3、开启了autid服务后，所有的审计日志会记录在/var/log/audit/audit.log文件中，该文件记录格式是每行以type开头，其中红框处是事件发生的时间（代表从1970年1月1日到现在过了多久，可以用date命令转换格式），冒号后面的数字是事件ID，同一个事件ID是一样的。
4、audit可以自定义对指定的文件或命令进行审计（如监视rm命令被执行、/etc/passwd文件内容被改变），只要配置好对应规则即可，配置规则可以通过命令行（临时生效）或者编辑配置文件（永久生效）两种方式来实现。
命令行语法（临时生效****）****：
| 1 | auditctl -w /bin/``rm -p x -k removefile ``#-w指定所要监控的文件或命令 |
| 2 | #-p指定监控属性，如x执行、w修改 |
| 3 | #-k是设置一个关键词用于查询 |
编辑配置文件（****永久生效）****：
auditd的配置文件为/etc/audit/audit下的auditd.conf 和audit.rules，auditd.conf 主要是定义了auditd服务日志和性能等相关配置，audit.rules才是定义规则的文件，下面是一个例子，其实就是把auditctl的命令直接拿过来即可，auditctl里支持的选项都可以在这个文件里指定
修改完后重启服务
| 1 | service auditd restart |
5、如果直接使用tailf等查看工具进行日志分析会比较麻烦，好在audit已经提供了一个更好的事件查看工具—— ausea****rch， 使用auserach -h查看下该命令的用法：
这里列出几个常用的选项：
-a number #只显示事件ID为指定数字的日志信息，如只显示926事件：ausearch -a 926
-c commond #只显示和指定命令有关的事件，如只显示rm命令产生的事件：auserach -c rm
-i #显示出的信息更清晰，如事件时间、相关用户名都会直接显示出来，而不再是数字形式
-k #显示出和之前auditctl -k所定义的关键词相匹配的事件信息
通过下图可以看到每个事件被虚线分开，用户名和执行的操作也都能清晰的看到了：
6、使用auditctl还可以查看和清空规则
查看源码
<embed width="16" height="16" id="highlighter_638828_clipboard" type="application/x-shockwave-flash" title="复制到剪贴板" allowscriptaccess="always" wmode="transparent" flashvars="highlighterId=highlighter_638828" menu="false" src="http://www.linuxe.cn/content/plugins/et_highlighter51/scripts/clipboard.swf" style="margin: 0px; padding: 0px; outline: 0px; zoom: 1; max-width: 96%;">
摘自 http://www.linuxe.cn/post-255.html
| 1 | auditctl -l 查看定义的规则 |
| 2 | auditctl -D 清空定义的规则 |
Ⅵ Linux的audit.log日志审计怎么断定被黑客入侵了
这里首先介绍auditctl的应用，具体使用指南查看man auditctl。auditctl的man 描述说明这个工具主要是用来控制audit系统行为，获取audit系统状态，添加或者删除audit系统的规则。控制audit系统行为和获取audit系统状态参数：
-s 或者auditd 状态 auditctl -s 显示：AUDIT_STATUS: enabled=1 flag=1 pid=2792 rate_limit=0 backlog_limit=320 lost=0 backlog=0
Ⅶ Linux 主机审计
Linux 主机审计
Linux操作系统可以通过设置日志文件可以对每个用户的每一条命令进行纪录，不过这一功能默认是没有打开的。
开启这个功能的过程：
# touch /var/log/pacct
# action /var/log/pact
也可以用自已的文件来代替/var/log/pacct这个文件。但必须路径和文件名的正确。
sa命令与 ac 命令一样，sa 是一个统计命令。该命令可以获得每个用户或每个命令的进程使用的大致情况，并且提供了系统资源的消费信息。在很大程度上，sa 又是一个记帐命令，对于识别特殊用户，特别是已知特殊用户使用的可疑命令十分有用。另外，由于信息量很大,需要处理脚本或程序筛选这些信息。
lastcomm命令, 与 sa 命令不同，lastcomm 命令提供每一个命令的输出结果，同时打印出与执行每个命令有关的时间印戳。就这一点而说，lastcomm 比 sa 更有安全性。如果系统被入侵，请不要相信在 lastlog、utmp、wtm中记录的信息，但也不要忽略，因为这些信息可能被修改过了。另外有可能有人替换了who程序来掩人耳目。通常，在已经识别某些可疑活动后，进程记帐可以有效的发挥作用。使用 lastcomm 可以隔绝用户活动或在特定时间执行命令。
3、使用logrorate对审计文件管理
/var/log/utmp，/var/log/wtmp和/var/log/pacct文件都是动态的数据文件。wtmp和pacct文件是在文件尾部不断地增加记录。在繁忙的网络上，这些文件会变得很大。Linux提供了一个叫logrotate的程序，它允许管理员对这些文件进行管理。
Logrotate读取/etc/logrotate.d目录下的文件。管理员通过该目录下的脚本文件，控制logrotate程序的运作。一个典型的脚本文件如下：
{
rotate 5
weekly
errors root@serve1r
mail root@server1
truncate
compress
size 100k
}
脚本文件的含义如下：
● rotate 5——保留该文件一份当前的备份和5份旧的备份。
● weekly——每周处理文件一次，通常是一周的第一天。
● errors——向邮件地址发送错误报告。
● mail——向邮件地址发送相关的信息。
● truncate——允许进程持续地记录，备份文件创建后，把活动的日志文件清空。
● compress——使用gzip工具对旧的日志文件进行压缩。
● size 100k——当文件超过100k 时自动处理。
Ⅷ Linux系统上记录MYSQL操作的审计日志
根据笔者上一篇文章—Linux系统上记录用户操作的审计日志 。本文来利用相同的方法记录MYSQL操作的审计日志。
使用用mysql工具连接MySQL server的所有操作会默认记录到~/.mysql_history文件中，这个文件会把所有操作记录下来，包括创建用户和修改用户的明文密码，这在生产系统上是不安全的。如果不想保存，仅仅删除是不行的（文件不存在会再建立），要直接将其软连接到垃圾箱。
ln -s /dev/null ~/.mysql_history
利用上一篇文章相同的方法记录MYSQL操作的审计日志，是因为mysql工具本身就是有一个shell, 每次mysql连接退出后，都会把此次操作的信息记录到~/.mysql_history文件中。那么可以重新定义MYSQL_HISTFILE环境变量来保存mysql日志。
先看置于/etc/profile.d目录下的环境变量的脚本mysql_history.sh，和loginlog类似。
在测试时，发现平时使用的普通用户在操作mysql后无法记录，而root用户（平时没有操作过mysql）可以记录成功。后来在在~/.mysql_history文件找到了操作记录，估计是这个文件还存在的原因，删除后才记录到新的MYSQL_HISTFILE定义的路径。
和loginlog一样，需要定期删除过期日志，以下脚本置于/etc/cron.weekly 目录下。
delete_time=15
find /opt/mysqllog/ -mtime +$delete_time -name '*.log' -exec rm -r {} \;
但是相比于loginlog，mysqllog有两点暂时没有解决。
1、定义最大的记录条数history.maxSize不知在哪定义，my.cnf?
2、每一条命令的时间记录添加。
Ⅸ linux服务器安全审计怎么弄
Linux审计系统auditd 套件
安装 auditd
REL/centos默认已经安装了此套件，如果你使用ubuntu server，则要手工安装它：
sudo apt-get install auditd
它包括以下内容：
auditctl :即时控制审计守护进程的行为的工具，比如如添加规则等等。
/etc/audit/audit.rules :记录审计规则的文件。
aureport :查看和生成审计报告的工具。
ausearch :查找审计事件的工具
auditspd :转发事件通知给其他应用程序，而不是写入到审计日志文件中。
autrace :一个用于跟踪进程的命令。
/etc/audit/auditd.conf :auditd工具的配置文件。
Audit 文件和目录访问审计
首次安装auditd后, 审计规则是空的。可以用sudo auditctl -l 查看规则。文件审计用于保护敏感的文件，如保存系统用户名密码的passwd文件，文件访问审计方法：
sudo auditctl -w /etc/passwd -p rwxa
-w path :指定要监控的路径，上面的命令指定了监控的文件路径 /etc/passwd
-p :指定触发审计的文件/目录的访问权限
rwxa ：指定的触发条件，r 读取权限，w 写入权限，x 执行权限，a 属性（attr）
目录进行审计和文件审计相似，方法如下：
$ sudo auditctl -w /proction/
以上命令对/proction目录进行保护。
3.查看审计日志
添加规则后，我们可以查看 auditd 的日志。使用ausearch工具可以查看auditd日志。
sudo ausearch -f /etc/passwd
-f设定ausearch 调出 /etc/passwd文件的审计内容
4. 查看审计报告
以上命令返回log如下：
time->Mon Dec 22 09:39:16 2016
type=PATH msg=audit(1419215956.471:194): item=0name="/etc/passwd"
inode=142512 dev=08:01 mode=0100644 ouid=0 ogid=0 rdev=00:00 nametype=NORMAL
type=CWD msg=audit(1419215956.471:194):cwd="/home/somebody"
type=SYSCALL msg=audit(1419215956.471:194): arch=40000003syscall=5
success=yes exit=3 a0=b779694b a1=80000 a2=1b6 a3=b8776aa8 items=1 ppid=2090 pid=2231auid=4294967295 uid=1000 gid=1000euid=0 suid=0 fsuid=0 egid=1000 sgid=1000 fsgid=1000 tty=pts0 ses=4294967295
comm="sudo" exe="/usr/bin/sudo"key=(null)
time :审计时间。
name :审计对象
cwd :当前路径
syscall :相关的系统调用
auid :审计用户ID
uid 和 gid :访问文件的用户ID和用户组ID
comm :用户访问文件的命令
exe :上面命令的可执行文件路径
以上审计日志显示文件未被改动。
Ⅹ liunx审计服务不能关闭
进程异常了，一般得重新启动系统。
所有的安全保密服务功能、网络中的所有层次都与审计跟踪系统有关。审计机制在Linux系统开机后会自动开启，处于审计状态，记录应该记录的内容。
Linux审计系统提供了一种跟踪系统上与安全相关的信息的方法，根据预先配置的规则，Audit会生成日志条目，以尽可能多地记录有关系统上发生的事件的信息。