Bitdefender Endpoint Security Tools for Linux-ийн түргэн эхлэх гарын авлага — 2-р хэсэг: Linux AuditD ашиглан EDR байршуулах

← Үндсэн хуудас

Linux AuditD ашиглан EDR байршуулах

Linux AuditD ашиглан EDR байршуулахад BEST for Linux хэд хэдэн файлыг автоматаар өөрчилнө. Эдгээр өөрчлөлт нь AuditD-г өмнө нь байсан аргуудтай ижил түвшинд ажиллуулах зорилготой. Өөрчлөлтүүд доор байна.

• /etc/audit/rules.d/
  • BEST /etc/audit/rules.d/ доторх бүх файлын нөөц хуулбар үүсгэнэ (жишээ нь /etc/audit/rules.d/audit.rules нь /etc/audit/rules.d/audit.rules.bak болно).
  • BEST дүрмийн файл үүсгэнэ: /etc/audit/rules.d/bd_ausecd.rules.
  • BEST auditd үйлчилгээг дахин асаана. Үүнд /etc/audit/rules.d/*.rules-ээс /etc/audit/audit.rules-ийг дахин үүсгэх орно.
  • EDR идэвхгүй болсон эсвэл BEST зогссон үед /etc/audit/rules.d/bd_ausecd.rules устаж, нөөц файлууд сэргээгдэнэ.
• /etc/default/auditd

  Тэмдэглэл

  Эдгээр өөрчлөлт зөвхөн тодорхой үйлдлийн системд хийгдэнэ. Дэлгэрэнгүйг доорх «auditd-д хийгдэх өөрчлөлтүүд» жагсаалтаас үзнэ үү.

  • BEST анхны агуулгын хуулбар хадгалахын тулд /etc/default/auditd-ийг /etc/default/auditd.bdsec-bak болгон нөөцөлнө.
  • BEST /etc/default/auditd-ийн агуулгыг өөрчилнө.
  • EDR идэвхгүй болсон эсвэл BEST зогссон үед файлын агуулга өмнөх төлөвт сэргээгдэнэ.
• /etc/sysconfig/auditd

  Тэмдэглэл

  Эдгээр өөрчлөлт зөвхөн тодорхой үйлдлийн системд хийгдэнэ. Дэлгэрэнгүйг доорх «auditd-д хийгдэх өөрчлөлтүүд» жагсаалтаас үзнэ үү.

  • BEST анхны агуулгын хуулбар хадгалахын тулд /etc/sysconfig/auditd-ийг /etc/sysconfig/auditd.bdsec-bak болгон нөөцөлнө.
  • BEST /etc/sysconfig/auditd-ийн агуулгыг өөрчилнө.
  • EDR идэвхгүй болсон эсвэл BEST зогссон үед файлын агуулга өмнөх төлөвт сэргээгдэнэ.
• /etc/audit/auditd.conf

  Тэмдэглэл

  Эдгээр өөрчлөлт зөвхөн тодорхой үйлдлийн системд хийгдэнэ. Дэлгэрэнгүйг доорх «auditd-д хийгдэх өөрчлөлтүүд» жагсаалтаас үзнэ үү.

  • BEST анхны агуулгын хуулбар хадгалахын тулд /etc/audit/auditd.conf-ийг /etc/audit/auditd.conf.bdsec-bak болгон нөөцөлнө.
  • BEST /etc/audit/auditd.conf-ийн агуулгыг өөрчилнө.
  • EDR идэвхгүй болсон (эсвэл BEST зогссон) үед файлын агуулга өмнөх төлөвт сэргээгдэнэ.
• /lib/systemd/system/auditd.service

  Тэмдэглэл

  Эдгээр өөрчлөлт зөвхөн тодорхой үйлдлийн системд хийгдэнэ. Дэлгэрэнгүйг доорх «auditd-д хийгдэх өөрчлөлтүүд» жагсаалтаас үзнэ үү.

  • BEST анхны агуулгын хуулбар хадгалахын тулд /lib/systemd/system/auditd.service-ийг /lib/systemd/system/auditd.service.bdsec-bak болгон нөөцөлнө.
  • BEST /lib/systemd/system/auditd.service-ийн агуулгыг өөрчилнө.
  • EDR идэвхгүй болсон эсвэл BEST зогссон үед файлын агуулга өмнөх төлөвт сэргээгдэнэ.
• /usr/lib/systemd/system/auditd.service

  Тэмдэглэл

  Эдгээр өөрчлөлт зөвхөн тодорхой үйлдлийн системд хийгдэнэ. Дэлгэрэнгүйг доорх «auditd-д хийгдэх өөрчлөлтүүд» жагсаалтаас үзнэ үү.

  • BEST анхны агуулгын хуулбар хадгалахын тулд /usr/lib/systemd/system/auditd.service-ийг /usr/lib/systemd/system/auditd.service.bdsec-bak болгон нөөцөлнө.
  • BEST /usr/lib/systemd/system/auditd.service-ийн агуулгыг өөрчилнө.
  • EDR идэвхгүй болсон эсвэл BEST зогссон үед файлын агуулга өмнөх төлөвт сэргээгдэнэ.
• /etc/systemd/system/auditd.service

  Тэмдэглэл

  Эдгээр өөрчлөлт зөвхөн тодорхой үйлдлийн системд хийгдэнэ. Дэлгэрэнгүйг доорх «auditd-д хийгдэх өөрчлөлтүүд» жагсаалтаас үзнэ үү.

  • BEST Audit backend-ийг анх удаа идэвхжүүлэхдээ анхны агуулгын хуулбар хадгалахын тулд /etc/systemd/system/auditd.service-ийг /etc/systemd/system/auditd.service.bdsec-bak болгон нөөцөлнө.
  • Файл байхгүй бол хуурамч нөөц үүснэ: /etc/systemd/system/auditd.service.bak-missing.
  • Файл байвал агуулгыг нь /etc/systemd/system/auditd.service.bak руу хуулна.
  • BEST өөрчилсөн /lib/systemd/system/auditd.service (эсвэл доорх жагсаалтын дагуу дистрибьюшнээс хамаарч /usr/lib/systemd/system/auditd.service) файлыг /etc/systemd/system/auditd.service руу хуулна.
  • EDR идэвхгүй болсон эсвэл BEST зогссон үед файлын агуулга /etc/systemd/system/auditd.service.bak-аас өмнөх төлөвт сэргээгдэнэ (зөвхөн auditd.service.bak-missing байвал файл устгагдана).

auditd-д хийгдэх өөрчлөлтүүд

Үйлдлийн систем, архитектур (X86 эсвэл X64) тус бүрээр хийгдэх өөрчлөлт. N/A гэдэг нь өөрчлөлт хийгдэхгүй гэсэн үг.

• Alma Linux 8, X86 — N/A
• Alma Linux 8, X64 — /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Alma Linux v1, X86 — N/A
• Alma Linux v1, X64 — /etc/sysconfig/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно.
• Alma Linux v2, X86 — N/A
• Alma Linux v2, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна. /usr/lib/systemd/system/auditd.service-ийг /etc/systemd/system руу хуулна. systemctl daemon-reload ажиллуулна. auditd үйлчилгээг дахин асаана.
• Centos 6 (X86 болон X64) — /etc/sysconfig/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно.
• Centos 7 (X86 болон X64) — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно.
• Centos 8, X86 — N/A
• Centos 8, X64 — /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно.
• Cloud Linux 7, X86 — N/A
• Cloud Linux 7, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Cloud Linux 8, X86 — N/A
• Cloud Linux 8, X64 — /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Debian 9 (X86 болон X64) — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Debian 10 (X86 болон X64) — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Debian 11 (X86 болон X64) — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Fedora 31, X86 — N/A
• Fedora 31, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Fedora 34, X86 — N/A
• Fedora 34, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Linux Mint 20.3, X86 — N/A
• Linux Mint 20.3, X64 — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Miracle Linux 8.4, X86 — N/A
• Miracle Linux 8.4, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• OpenSUSE 15.2, X86 — N/A
• OpenSUSE 15.2, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна. /usr/lib/systemd/system/auditd.service-ийг /etc/systemd/system руу хуулна. systemctl daemon-reload ажиллуулна. auditd үйлчилгээг дахин асаана.
• Oracle 6, X86 — N/A
• Oracle 6, X64 — /etc/sysconfig/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно.
• Oracle 7, X86 — N/A
• Oracle 7, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно.
• Oracle 8, X86 — N/A
• Oracle 8, X64 — /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно.
• Pardus 21, X86 — N/A
• Pardus 21, X64 — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• RHEL 6 (X86 болон X64) — /etc/sysconfig/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно.
• RHEL 7, X86 — N/A
• RHEL 7, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно.
• RHEL 8, X86 — N/A
• RHEL 8, X64 — /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно.
• Rocky Linux 8, X86 — N/A
• Rocky Linux 8, X64 — /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно.
• SLES 12 SP4, X86 — N/A
• SLES 12 SP4, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна. /usr/lib/systemd/system/auditd.service-ийг /etc/systemd/system руу хуулна. systemctl daemon-reload ажиллуулна. auditd үйлчилгээг дахин асаана.
• SLES 12 SP5, X86 — N/A
• SLES 12 SP5, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна. /usr/lib/systemd/system/auditd.service-ийг /etc/systemd/system руу хуулна. systemctl daemon-reload ажиллуулна. auditd үйлчилгээг дахин асаана.
• SLES 15 SP2, X86 — N/A
• SLES 15 SP2, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна. /usr/lib/systemd/system/auditd.service-ийг /etc/systemd/system руу хуулна. systemctl daemon-reload ажиллуулна. auditd үйлчилгээг дахин асаана.
• SLES 15 SP3, X86 — N/A
• SLES 15 SP3, X64 — /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /usr/lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна. /usr/lib/systemd/system/auditd.service-ийг /etc/systemd/system руу хуулна. systemctl daemon-reload ажиллуулна. auditd үйлчилгээг дахин асаана.
• Ubuntu 14.04 (X86 болон X64) — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна. /lib/systemd/system/auditd.service-ийг /etc/systemd/system руу хуулна. systemctl daemon-reload ажиллуулна. auditd үйлчилгээг дахин асаана.
• Ubuntu 16.04 (X86 болон X64) — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна. /lib/systemd/system/auditd.service-ийг /etc/systemd/system руу хуулна. systemctl daemon-reload ажиллуулна. auditd үйлчилгээг дахин асаана.
• Ubuntu 18.04, X86 — N/A
• Ubuntu 18.04, X64 — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Ubuntu 20.04, X86 — N/A
• Ubuntu 20.04, X64 — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг RAW болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Ubuntu 21.04, X86 — N/A
• Ubuntu 21.04, X64 — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.
• Ubuntu 21.10, X86 — N/A
• Ubuntu 21.10, X64 — /etc/default/auditd файлд USE_AUGENRULES-ийг yes болгоно. /etc/audit/auditd.conf файлд log_format-ийг NOLOG болгоно. /lib/systemd/system/auditd.service файлд ExecStartPost=-/sbin/augenrules --load байгааг баталгаажуулна.