使用aureport分析入侵行为

如果黑客入侵了你的系统，如何分析他是如何入侵的呢？

在Linux中，我们可以通过分析auditd审计系统记录的日志，从而来初步分析黑客的入侵痕迹

auditd审计系统

概述

auditd是liunx内核的审计子系统，负责记录系统级事件（如文件访问、用户登录、命令执行等）

审计日志默认存储在/var/log/audit/中，内容为结构化的纯文本格式，每条记录由多个 key=value 字段组成，直接阅读比较困难，需要解析

核心组件

• auditd 守护进程：后台运行，负责收集和存储审计日志（默认路径 /var/log/audit/）
• auditctl：配置工具，用于定义审计规则（如监控文件访问或系统调用）
• ausearch & aureport：分析工具，前者搜索日志，后者生成统计报告
• audispd：扩展插件，支持将日志转发到其他程序处理

在这里我们为了分析入侵行为，可以使用ausearch & aureport工具

• aureport的统计性更强，能比较直观地了解
• ausearch也可以使用，因为是搜索日志中的相关信息，显示的内容更加详细

这里我们主要关注aureport工具

aureport

aureport的作用是将原始日志转换为可读性强的汇总报告

常用命令