linux audit审计（2）--audit启动

参考：https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/security_guide/sec-defining_audit_rules_and_controls

1、启动audit内核模块    

有些系统audit的内核模块时默认关闭的。可以查看/proc/cmdline，看audit=0，如果为0，则默认不启动audit。通过设置/boot/grub2/grub.cfg文件，使audit=1，或者去掉audit=0，然后重启系统，使audit内核模块启动。再次查看/proc/cmdline已修改为audit=1。

如果audit的内核模块启动了，用auditctl -s查询enabled为1，但是用户空间的auditd守护进程没有运行，审计日志无人接管，就会被写到/var/log/messages中。

2、启动auditd守护进程

我们习惯使用systemctl start xxx来启动一个服务，但是auditd手册中，明确指出使用service命令是唯一一个正确开启auditd守护进程的方式。使用systemctl只是enable，status这两个动作可以。

正常一个服务，我们使用service xx start时都会显示Redirecting to /bin/systemctl start xxx.service。我们可以通过which service来查看这个命令的源文件，/usr/sbin/service。这里对于不同的情况，有不同的处理。1）/etc/init.d目录下有这个服务；2）/usr/libexec/initscripts/legacy-actions目录下有这个服务；3）除了以上两种情况，其他情况下会定向到systemctl cmd xxx.service。auditd属于第二种情况，/usr/libexec/initscripts/legacy-actions目录有auditd目录，如下：

linux-xdYUnA:/usr/libexec/initscripts/legacy-actions/auditd # ls
condrestart  restart  resume  rotate  stop

1）设置开机启动/不启动

systemctl enable auditd
systemctl disable auditd

2）stop

service auditd stop

3) reload

service auditd reload

重新加载auditd的配置文件/etc/audit/auditd.conf。使用systemctl reload auditd也是生效的。

4）rotate

 service auditd rotate

在/var/log/audit/目录下rotate。

5）resume

service auditd resume

当日志记录停止时，用于恢复日志记录。

6）condrestart

service auditd condrestart

当服务正在运行时，重启服务。

3、auditd的服务文件如下：

[Unit]
Description=Security Auditing Service
DefaultDependencies=no

## If auditd.conf has tcp_listen_port enabled, copy this file to
## /etc/systemd/system/auditd.service and add network-online.target
## to the next line so it waits for the network to start before launching.

## 如果在auditd.conf中已经配置了tcp_listen_port，那么需要在After后面增加network-online.target，保证先启动网络，后再启动auditd
After=local-fs.target systemd-tmpfiles-setup.service
Conflicts=shutdown.target
Before=sysinit.target shutdown.target
RefuseManualStop=yes
ConditionKernelCommandLine=!audit=
Documentation=man:auditd() https://github.com/linux-audit/audit-documentation

[Service]
Type=forking
PIDFile=/var/run/auditd.pid
ExecStart=/sbin/auditd

## To not use augenrules, copy this file to /etc/systemd/system/auditd.service
## and comment/delete the next line and uncomment the auditctl line.
## NOTE: augenrules expect any rules to be added to /etc/audit/rules.d/

## ungenrules这个工具是把/etc/audit/rules.d/目录下的规则文件，按照顺序加载进来，写入到/etc/audit/audit.rules文件中。如果不使用这个工具，下面这一行需要注释或删掉。auditctl那一行取消注释。
ExecStartPost=-/sbin/augenrules --load
#ExecStartPost=-/sbin/auditctl -R /etc/audit/audit.rules
ExecReload=/bin/kill -HUP $MAINPID
# By default we don't clear the rules on exit. To enable this, uncomment
# the next line after copying the file to /etc/systemd/system/auditd.service

## 这个是stop后执行的动作。stop.rulse主要是 -e 0 disable 和-D删除所有规则 
## 如果不删除已经配置好的规则的话，在stop后，用auditctl -l查询可以看到有很多规则，并且enabled为1，这样的话，当auditd服务关闭了，但规则还在，那就会有大量的日志记录在messages中。stop.rules中通过-e 0使audit不工作，日志也不会记录在messages中
#ExecStopPost=/sbin/auditctl -R /etc/audit/audit-stop.rules

[Install]
WantedBy=multi-user.target

4、audit的使能

通过auditctl -s查询可以看到audit的状态，这个是查询audit内核模块的状态。

linux-xdYUnA:/etc/audit # auditctl -s
enabled
failure
pid
rate_limit
backlog_limit
lost
backlog 

其中“enabled”这个选项很重要的，如果为0，则audit就不工作了，看不到任何审计日志，哪怕是系统日志messages。所有的规则都不会生效，连没有设定规则时，su提权这样的操作也不会记录。无论是使用auditctl临设配置规则，还是用/etc/audit/audit.rules文件永久配置规则，所有规则设定都要在enabled为1时才可以生效。

当enabled为2时，则表示规则锁定，所有设置都不起作用，只有当系统重启后，enabled不为2了才可以。

服务是服务，enable是enable，这两者并没有关系，服务启动或停止是针对auditd这个守护进程。auditctl -s查询的enabled的状态为audit内核模块的状态。内核模块主要用来获取审计信息，用户态的守护进程主要用来收集信息和记录日志。enabled为1，服务停止，日志会记录在messages中；enable为0，服务启动，没有任何审计信息，不会记录日志。也就是auditd服务是否启动，决定日志记录在哪里，启动了，日志记录在配置文件指定的路径，没有启动，记录在messages日志中。enable决定内核是否开始审计，为0，不启动，为1，启动。

可以通过auditctl -e改变状态，0 不使能，1 使能，2 锁定配置。如果在/boot/grub2/grub.cfg里配置的audit=1，当系统重启后，enable默认为1，如果没有配置audit，则enable为0。

当然了，如果audit的内核模块不加载（即在/boot/grub2/grub.cfg中配置为audit=0），与内核模块交互的auditctl也就无法工作了，状态当然也无法查询。

linux-xdYUnA:~ # auditctl -s
Error - audit support not in kernel
Cannot open netlink audit socket