信息安全工程師案例分析真題考點(diǎn)：Linux審計(jì)機(jī)制及常用審計(jì)命令

Linux內(nèi)核有用日志記錄事件的能力，比如記錄系統(tǒng)調(diào)用和文件訪(fǎng)問(wèn)。管理員通過(guò)這些日志，可以確定可能存在的安全裂口，比如失敗的登錄嘗試，或者用戶(hù)對(duì)系統(tǒng)文件不成功的訪(fǎng)問(wèn)等，Linux系統(tǒng)日志主要存放在/var/log目錄下，常見(jiàn)的一些系統(tǒng)日志文件如下：

·lastlog：記錄用戶(hù)最近成功登錄的時(shí)間;

·loginlog：不良的登錄嘗試記錄;

·messages：記錄輸出到系統(tǒng)主控臺(tái)以及由syslog系統(tǒng)服務(wù)程序產(chǎn)生的消息;

·utmp：記錄當(dāng)前登錄的每個(gè)用戶(hù);

·utmpx：擴(kuò)展的utmp:

·wtmp：記錄每一次用戶(hù)登錄和注銷(xiāo)的歷史信息;

·wtmpx：擴(kuò)展的wtmp:

·yold.log;記錄使用外部介質(zhì)出現(xiàn)的錯(cuò)誤：

·xferkig：記錄ftp的存取情況;

·sulog：記錄su命令的使用情況;

·acct：記錄每個(gè)用戶(hù)使用過(guò)的命令。

安全信息和系統(tǒng)登錄與網(wǎng)絡(luò)連接的信息：/var/log/secure

/var/log/secure一般用來(lái)記錄安全相關(guān)的信息，記錄最多的是哪些用戶(hù)登錄服務(wù)器的相關(guān)日志，如果該文件很大，說(shuō)明有人在破解你的root密碼，或爆力破解(一般是SSH暴力破解)。

/var/log/auth.log、/var/log/secure記錄驗(yàn)證和授權(quán)方面的信息，只要涉及賬號(hào)和密碼的程序都會(huì)記錄，比如SSH登錄，su切換用戶(hù)，sudo授權(quán)，甚至添加用戶(hù)和修改用戶(hù)密碼都會(huì)記錄在這個(gè)日志文件中。

常用審計(jì)命令：

//定位多少I(mǎi)P在爆破root賬號(hào)

grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

//定位有多少I(mǎi)P在爆破

grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

//爆破用戶(hù)名的字典是什么

grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

//查看登錄成功的IP有哪些

grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

//登錄成功的日志、用戶(hù)名、IP

grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

相關(guān)真題：2021年信息安全工程師下午案例分析真題，第二大題，問(wèn)題3。

日志包含設(shè)備、系統(tǒng)和應(yīng)用軟件的各種運(yùn)行信息，是安全運(yùn)維的重點(diǎn)關(guān)注對(duì)象。李工在定期巡檢服務(wù)器的SSHH志時(shí)，發(fā)現(xiàn)了以下可疑記錄：

(1)請(qǐng)問(wèn)李工打開(kāi)的系統(tǒng)日志文律的路徑和名稱(chēng)是什么?

(2)李工懷疑有黑客在攻擊該系統(tǒng)，請(qǐng)給出判斷攻擊成功與否的日志以便李工評(píng)估攻擊的影響。