Сценарий: отслеживаем события чтения/записи/добавления в файлы passwd и shadow
# apt install auditd
# auditctl -D # auditctl -w /etc/passwd -p rwa -k passwords-files # auditctl -w /etc/shadow -p rwa -k passwords-files # auditctl -l # cat /etc/audit/audit.rules ubuntu24/debian12# cat /etc/audit/rules.d/audit.rules
... -w /etc/passwd -p rwa -k passwords-files -w /etc/shadow -p rwa -k passwords-files
# service auditd restart
user1$ touch /etc/passwd user1$ cat /etc/shadow
# cat /var/log/audit/audit.log # ausearch -f /etc/passwd # ausearch -k passwords-files
# cat /etc/audit/rules.d/soc.rules
# Аудит входа/выхода пользователей -w /var/log/faillog -p wa -k logins -w /var/run/faillock -p wa -k logins # Контроль за изменениями пользователей и групп -w /etc/passwd -p wa -k usermod -w /etc/group -p wa -k groupmod -w /etc/shadow -p wa -k shadowmod -w /etc/gshadow -p wa -k gshadowmod # Контроль за добавление/удаление пользователей -w /usr/sbin/useradd -p x -k user_add -w /usr/sbin/userdel -p x -k user_del -w /usr/sbin/usermod -p x -k user_mod # Аудит изменений прав доступа к файлам -a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F auid>=1000 -F auid!=4294967295 -k perm_mod -a always,exit -F arch=b32 -S chmod,fchmod,fchmodat -F auid>=1000 -F auid!=4294967295 -k perm_mod # Аудит использования команд sudo -a always,exit -F path=/usr/bin/sudo -F perm=x -k sudo_usage # контроль за изменением sudoers -w /etc/sudoers -p wa -k priv_change -w /etc/sudoers.d/ -p wa -k priv_change # Аудит изменения времени системы -a always,exit -F arch=b64 -S adjtimex,settimeofday -k time_change -a always,exit -F arch=b32 -S adjtimex,settimeofday -k time_change # контроль за изменениями /etc/passwd, /etc/shadow, /etc/group и /etc/gshadow -w /etc/passwd -p wa -k identity -w /etc/shadow -p wa -k identity -w /etc/group -p wa -k identity # Контроль за изменениями системных конфигурационных файлов -w /etc/sysctl.conf -p wa -k sysctl -w /etc/hosts -p wa -k network -w /etc/resolv.conf -p wa -k dns -w /etc/gshadow -p wa -k identity # Контроль за изменениями изменение правил iptables -w /sbin/iptables -p x -k firewall -w /sbin/ip6tables -p x -k firewall -w /usr/sbin/nft -p x -k firewall -w /etc/firewalld -p wa -k firewall # Контроль за изменением файлов SSH -w /etc/ssh/sshd_config -p wa -k sshd_config # Логирование команд, выполненных с правами root -a exit,always -F arch=b64 -F euid=0 -S execve -k ssh_commands -a exit,always -F arch=b32 -F euid=0 -S execve -k ssh_commands