監査ログと auditd
Pro会員限定上級約55分9レッスン
Linux の監査サブシステム（auditd）のルールと監査ログを読み、「誰が・いつ・何をしたか」を証跡から追う方法を学びます。auditctl でルールを確認し、ausearch で侵害の足取りを再構成したうえで、足りなかった監視ルールを追加して固定します。
対象者: ログだけでは追いきれない「実行された操作」を、監査証跡から追えるようになりたい方
前提知識: ファイル完全性監視 修了程度
この教材を終えると、できるようになること
- auditctl -l で、どのファイル・システムコールが監査対象かを読めるようになる。
- auditctl -s で監査の有効状態（enabled）とロック状態、取りこぼしを読めるようになる。
- ausearch -k で、特定の監視対象に対する操作を抜き出し、auid から本来の人物を読めるようになる。
- ausearch で、ログインした利用者が root 権限で実行したコマンドを洗い出せるようになる。
- webexec キーの証跡から、ログインを経ない Web サーバー経由の実行を特定し、auid=unset の意味を説明できるようになる。
- auth.log の sudo 記録と監査証跡を突き合わせ、昇格の経緯を一本の線にできるようになる。
…ほか 2 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1監査証跡を読む
auditd のルールと監査ログから侵害の足取りを再構成し、足りないルールを追加します。
- 監査ルールを確認する何を監視するよう設定されているかを読む約6分（有料会員限定）
- 監査の状態を確認する有効か・設定を変えられない状態か・取りこぼしは無いかを見る約5分（有料会員限定）
- キーで証跡を検索するidentity キーで passwd 改ざんの操作を追う約6分（有料会員限定）
- root 権限での実行を追うrootcmd キーで昇格後の実行コマンドを洗い出す約6分（有料会員限定）
- Web シェル経由の実行を追うauid が unset・uid が 33 の記録から、Web サーバー経由の操作を読む約6分（有料会員限定）
- 認証ログと突き合わせる監査証跡と auth.log を照合して筋を通す約6分（有料会員限定）
- 足りない監視ルールを追加するcron.d・authorized_keys・ld.so.preload を rules.d に足して読み込む約8分（有料会員限定）
- 監査の設定をロックする-e 2 で、侵入後にルールを消されないようにする約7分（有料会員限定）
- 確認クイズ: 監査ログと auditdauditd のルール・状態・検索・固定の勘所約5分（有料会員限定）