Linux 系统安全监控全攻略
1. 日志与用户账户监控的重要性
在 Linux 系统的安全监控阶段，日志文件和用户账户的监控至关重要。日志文件能记录系统的各种活动，而用户账户常成为恶意攻击的目标，攻击者可能通过非法获取现有账户访问权限、创建虚假账户或预留账户以便后续访问等方式来攻击系统。
1.1 检测假冒新账户和权限提升
未经过适当授权创建的账户应被视为假冒账户，对账户进行任何未经授权的修改，如赋予不同的用户标识（UID）号码或添加未经授权的组成员身份，都属于权限提升。可通过监控/etc/passwd和/etc/group文件来防范这些潜在的安全漏洞。
为监控这些文件，可使用审计守护进程（audit daemon），它是一个强大的审计工具，能选择要跟踪的系统事件并记录，还具备报告功能。开始审计时，需使用auditctl命令，至少需要两个选项：
--w filename：对指定文件设置监控，审计守护进程将通过文件的 inode 号码跟踪该文件。inode 号码是包含文件信息（包括其位置）的数据结构。
--p trigger(s)：当指定文件发生特定访问类型（r=读，w=写，x=执行，a=属性更改）时，触发审计记录。
例如，对/etc/passwd文件设置监控的命令如下：
# auditctl -w /etc/passwd -p rwa </
 A~D F)