Auditbeat：多用途审计跟踪工具

小蓝 • 2024-12-19 13:21 • 编程

Auditbeat是Elastic Stack中的一个轻量级数据收集器。它能够通过记录各种事件，例如文件、网络和系统管理事件，提供您所需的关键安全信息。在本文中，我们将围绕Auditbeat展开探讨，从多个方面对其进行详细阐述，帮助您更好地使用它。

一、卸载Auditbeat

要卸载Auditbeat，请使用以下命令

sudo dpkg -r auditbeat

要强制删除请使用以下命令

sudo dpkg -r --force-all auditbeat

这两个命令将完全删除Auditbeat及其所有配置和数据文件。

二、安装与配置Auditbeats

要安装Auditbeat，请按照以下步骤进行。

下载Auditbeat：您可以从Elastic网站上下载Auditbeat。
安装Auditbeat：您可以通过以下命令来安装Auditbeat：

sudo dpkg -i auditbeat-7.14.0-amd64.deb

这份代码示例将安装Elastic Stack 7.14.0版本的Auditbeat。

配置Auditbeat：

#----------------------------- System Module -------------------------------
- module: system
  syslog:
    enabled: true
  auth:
    enabled: true
    var.paths: ["/var/log/auth.log*"]
  kern:
    enabled: true
    var.paths: ["/var/log/kern.log*"]
  auditd:
    enabled: true
    var.paths: ["/var/log/audit/audit.log*"]
  message:
    enabled: true
    var.paths: ["/var/log/messages", "/var/log/syslog"]
  package:
    enabled: true
    var.paths: ["/var/log/dpkg.log"]

在这里，我们启用了Auditbeat的系统模块，并配置其采集的日志种类，如系统日志、认证日志、内核日志、auditd和软件包日志。通过var.paths设置它们的日志路径。

三、Auditbeat意外停止怎么办？

检查Auditbeat是否正在运行：

sudo systemctl status auditbeat

如果Auditbeat处于inactive状态，您可以使用以下命令重新启动它：

sudo systemctl start auditbeat

您可以使用以下命令检查日志文件的内容查找错误：

journalctl -u auditbeat

四、Auditbeat命令审计

如果您想对特定的命令进行审计，您可以在Auditbeat配置文件的system模块中添加相应的rule：

- module: system
  audit_rules:
  - "-a always,exit -F path=/usr/bin/sudo -F perm=x -F auid>=1000 -F auid!=4294967295 -k privileged-priv_change"

在这个例子中，我们设置Auditbeat来审计sudo命令的使用，被审计的规则为，任何非根用户使用sudo更改系统权限（例：sudo su），并有关于此事件的日志记录。

五、Auditbeat传入 Windows 系统日志

Auditbeat提供了与Windows系统事件日志的集成。要启用此功能，请在Auditbeat Windows配置文件中：

#==========================  Modules configuration =============================
auditbeat.modules:
- module: windows
  event_logs:
    - name: Application
    - name: System
    - name: Security

在这里，我们启用Windows模块，并为应用程序、系统和安全事件日志配置了event_logs的名称。

六、Auditbeat内存占用过大怎么办？

默认情况下，Auditbeat会占用大约100MB的内存，但是对于某些低端设备（如树莓派等），可能会产生问题。您可以使用以下命令来减小Auditbeat的内存使用：

sudo sysctl -w vm.max_map_count=262144

该命令将虚拟内存区域的最大映射计数设置为262144。这可以通过减少网络接口的数量来限制大量的网络通信，从而减少内存占用并提高性能。

七、Auditbeat Windows选项

除了前面提到的集成Windows事件日志的模块外，Auditbeat也提供了一些额外的选项，用于在Windows上进行安全性和可靠性方面的增强。

使用LSASS提供的日志收集提高端口39在Windows上的数据源。
使用WMI监听进程创建事件。
在需要时启用管理员权限。
启用APM Server以接收数据。
通过使用Windows事件日志来捕获DNS解析的事件。

使用以上选项设置您的Auditbeat，可以在Windows上更加安全、稳定。

总结

Auditbeat是Elastic Stack的一个出色数据收集器。与其他数据收集器相比，它的优势在于易于安装和配置，以及小巧、高效的数据收集。通过本文的探讨，相信您已经了解了如何使用Auditbeat，或者，您可以通过文章提供的代码示例，进行更加深入的学习和使用。

原创文章，作者：小蓝，如若转载，请注明出处：https://www.506064.com/n/277970.html