app name gen-audit-rules
linux generate auditd service rules tools Version 1.0
https://github.com/ljq/gen-auditd-service-rules
中文文档说明(除基本功能，提供思路实现)：
https://github.com/ljq/gen-auditd-service-rules/blob/master/README.CN.md
简介： audit可以配置规则，此规则主要是给内核模块下发，内核audit模块会按照这个规则获取审计信息，发送给auditd来记录日志。
此工具主要是方便在DevOps开发环境下，针对系统和应用，便捷配置Auditd服务规则，自由灵活实现配置管理。
python module
import os, json, time
auditd.conf主配置文件重要规则
# 以MB表示的最大日志文件容量。当达到这个容量时，会执行max_log_file _action指定的动作
# (文件设置过小，会导致生成大量文件，可以设置适当大小)
max_log_file = 6
# 当达到max_log_file的日志文件大小时采取的动作。值必须是IGNORE、SYSLOG、SUSPEND、ROTATE和KEEP_LOGS之 一。
# IGNORE: 则在日志文件达到max_log_file后不采取动作。
# SYSLOG：则当达到文件容量时会向系统日志/var /log/messages中写入一条警告。
# SUSPEND: 则当达到文件容量后不会向日志文件写入审计消息。
# ROTATE: 则当达 到指定文件容量后会循环日志文件，但是只会保存一定数目的老文件，这个数目由num_logs参数指定。
# 旧文件的文件名将为audit.log.N，其中 N是一个数字。这个数字越大，则文件越老。
# KEEP_LOGS: 则会循环日志文件，但是会忽略num_logs参数，因此不会删除日志文件。
#
# (此配置无需勿动)
max_log_file_action = ROTATE
配置规则(无限节点)
# 自定义规则配置参考实例(conf/audit_rules_conf.json)：
{
"web01":{
"/data/www/web":"-p rwa",
"/data/www/vendor":"-p rwa"
},
"web02":{
"/data/www/web":"-p rwa",
"/data/www/vendor":"-p rwa"
},
"web03":{
"/data/www/web":"-p rwa",
"/data/www/vendor":"-p rwa"
},
"web0N":{
"/data/www/web":"-p rwa",
"/data/www/vendor":"-p rwa"
},
"system":{
"/etc/passwd":"-k PASSWD",
"/etc/my.conf":"-k PASSWD"
},
...
}
审计规则构成(合并)
1.[系统默认规则]
conf/audit.rules.default
2.[自定义规则,无限节点]
conf/audit_rules_conf.json
# 生成规则实例(rules默认-w)
#### APP NAME Audit Rules Created By DataTime: 2019/01/01 00:00:00 ####
#audit rule block: web
-w /data/www/web -p rwa
-w /data/www/vendor -p rwa
#audit rule block: system
-w /etc/my.conf -k PASSWD
-w /etc/passwd -k PASSWD
Built rules file path
gen_audit_rules/audit.rules
centos 6.x path:
/etc/audit/audit.rules
centos 7.x path:
/etc/audit/rules.d/audit.rules
常用命令工具
auditctl : 即时控制审计守护进程的行为的工具，比如如添加规则等等。
aureport : 查看和生成审计报告的工具。
ausearch : 查找审计事件的工具。
auditspd : 转发事件通知给其他应用程序，而不是写入到审计日志文件中。
autrace : 一个用于跟踪进程的命令。
#conf file:
/etc/audit/auditd.conf : auditd工具的配置文件。
/etc/audit/audit.rules : 记录审计规则的文件。
审计日志格式
time : 审计时间。
name : 审计对象
cwd : 当前路径。
syscall : 相关的系统调用。
auid : 审计用户ID。
uid 和 gid : 访问文件的用户ID和用户组ID。
comm : 用户访问文件的命令。
exe : 上面命令的可执行文件路径。
