Защита журналов

Утилита auditd

Альтернативы системе Syslog

Другие журнальные файлы

Демон klogd

Демон klogd перехватывает и регистрирует все сообщения ядра. Обычно они направляются в систему Syslog, но если вызвать демон с аргументом –f имя_файла, сообщения будут записываться в указанный файл. У демона klogd нет конфигурационного файла. Регистрировать сообщения ядра в обход системы Syslog имеет смысл только в целях отладки. Впрочем, если кто-то взломал ядро, с помощью этого механизма можно отследить сделанные изменения.

При переходе системы на уровень выполнения 1 демоны syslogd и klogd уничтожаются (сценарий /etc/rc.d/init.d/syslog).

В каталоге /var/log хранится множество журнальных файлов. Они могут находиться и в других каталогах, в зависимости от дистрибутива и настройки отдельных приложений. В файле /etc/syslog.conf указано расположение всех файлов, которые контролируются демоном syslogd. У других приложений могут быть свои установки. Например, Web-сервер Apache создает файл /var/log/htmlaccess.log, куда записываются сообщения о доступе со стороны клиентов, и файл /var/log/httpd/error.log, где регистрируются ошибки.

В интенсивно эксплуатируемых системах демон syslogd иногда теряет сообщения, не справляясь с загрузкой. В этом случае имеет смысл обратиться к утилите cyclog. Она буферизует журнальные сообщения, поддерживая журнальные файлы в синхронном состоянии и осуществляя их автоматическую ротацию.

Демон auditd – это свободно распространяемая утилита, расширяющая возможности демона syslogd и ранее рассмотренных утилит учета.

Демон auditd перехватывает сообщения о различных системных событиях, включая сообщения почтовой подсистемы, сообщения о входящих и исходящих сетевых соединениях, о попытках регистрации в системе и вызова команды su, о доступе к файлам и об изменении ядра. В отличие от демона syslogd, который ожидает, что сообщения будут генерироваться другими процессами, демон auditd перехватывает системные вызовы ядра.

Демон auditd создает довольно подробный отчет о работе системы. Такой уровень детализации полезен в системах, которые имеют прямой выход в Интернет, например в брандмауэрах, Web- и FTP-серверах. Можно также запускать демон во внутренних системах, содержащих конфиденциальную информацию.

Журналы создавались как средство наблюдения за системой и выявления атак, но могут быть использованы в корыстных целях.

Владельцем всех журналов должен быть администратор root. В директории /var/log только администратор должен обладать правом чтения и записи в журналы. Помимо журналов необходимо защищать программы, установленные для их анализа. У всех программ, позволяющих читать журналы, не должно быть установленного SUID- или SGID-бита.

Дата добавления: 2014-12-07