Análise de Logs de Auditoria do Linux para Detecção de Intrusão

Quando Usar

• Investigando acesso não autorizado suspeito ou escalonamento de privilégios em hosts Linux
• Buscando evidências de exploração, instalação de backdoors ou mecanismos de persistência
• Auditoria de conformidade com bases de segurança (CIS, STIG, PCI-DSS) que exigem monitoramento de chamadas de sistema
• Reconstruindo uma linha do tempo de ações do atacante durante a resposta a incidentes
• Detectando adulteração de arquivos em arquivos críticos do sistema, como /etc/passwd, /etc/shadow ou chaves SSH

Não use para detecção de intrusão em nível de rede; use Suricata ou Zeek para análise de tráfego de rede. O Auditd opera no nível do kernel em hosts individuais.

Pré-requisitos

• Sistema Linux com o pacote auditd instalado e o daemon de auditoria em execução (systemctl status auditd)
• Acesso root ou sudo para configurar regras de auditoria e consultar logs
• Regras de auditoria implantadas via /etc/audit/rules.d/*.rules ou carregadas com auditctl
• Recomendado: ruleset do Neo23x0/auditd do GitHub para cobertura abrangente da base
• Familiaridade com chamadas de sistema do Linux (execve, open, connect, ptrace, etc.)
• Armazenamento de logs com retenção suficiente (local padrão: /var/log/audit/audit.log)

Fluxo de Trabalho

Etapa 1: Verificar o Status e a Configuração do Daemon de Auditoria

Confirme se o sistema de auditoria está em execução e verifique o conjunto de regras atual:

# Check auditd service status
systemctl status auditd

# Show current audit rules loaded in the kernel
auditctl -l

# Show audit daemon configuration
cat /etc/audit/auditd.conf | grep -E "log_file|max_log_file|num_logs|space_left_action"

# Check if the audit backlog is being exceeded (dropped events)
auditctl -s

Se o limite de backlog estiver sendo atingido, aumente-o:

auditctl -b 8192

Etapa 2: Implantar Regras de Auditoria Focadas em Intrusão

Adicione regras que visam indicadores comuns de intrusão. Coloque-as em /etc/audit/rules.d/intrusion.rules:

# Monitor credential files for unauthorized reads or modifications
-w /etc/passwd -p wa -k credential_access
-w /etc/shadow -p rwa -k credential_access
-w /etc/gshadow -p rwa -k credential_access
-w /etc/sudoers -p wa -k privilege_escalation
-w /etc/sudoers.d/ -p wa -k privilege_escalation

# Monitor SSH configuration and authorized keys
-w /etc/ssh/sshd_config -p wa -k sshd_config_change
-w /root/.ssh/authorized_keys -p wa -k ssh_key_tampering

# Monitor user and group management commands
-w /usr/sbin/useradd -p x -k user_management
-w /usr/sbin/usermod -p x -k user_management
-w /usr/sbin/groupadd -p x -k user_management

# Detect process injection via ptrace
-a always,exit -F arch=b64 -S ptrace -F a0=0x4 -k process_injection
-a always,exit -F arch=b64 -S ptrace -F a0=0x5 -k process_injection
-a always,exit -F arch=b64 -S ptrace -F a0=0x6 -k process_injection

# Monitor execution of programs from unusual directories
-a always,exit -F arch=b64 -S execve -F exe=/tmp -k exec_from_tmp
-a always,exit -F arch=b64 -S execve -F exe=/dev/shm -k exec_from_shm

# Detect kernel module loading (rootkit installation)
-a always,exit -F arch=b64 -S init_module -S finit_module -k kernel_module_load
-a always,exit -F arch=b64 -S delete_module -k kernel_module_remove
-w /sbin/insmod -p x -k kernel_module_tool
-w /sbin/modprobe -p x -k kernel_module_tool

# Monitor network socket creation for reverse shells
-a always,exit -F arch=b64 -S socket -F a0=2 -k network_socket_created
-a always,exit -F arch=b64 -S connect -F a0=2 -k network_connection

# Detect cron job modifications (persistence)
-w /etc/crontab -p wa -k cron_persistence
-w /etc/cron.d/ -p wa -k cron_persistence
-w /var/spool/cron/ -p wa -k cron_persistence

# Monitor log deletion or tampering
-w /var/log/ -p wa -k log_tampering

Recarregue as regras após a edição:

augenrules --load
auditctl -l | wc -l   # Confirm rule count

Etapa 3: Buscar Indicadores de Intrusão com ausearch

Use ausearch para consultar o log de auditoria em busca de eventos específicos:

# Busca por todas as tentativas de login falhas nas últimas 24 horas
ausearch -m USER_LOGIN --success no -ts recent

# Busca por comandos executados por um usuário específico
ausearch -ua 1001 -m EXECVE -ts today

# Busca por todos os eventos de acesso a arquivos em /etc/shadow
ausearch -f /etc/shadow -ts this-week

# Busca por escalonamento de privilégios via sudo
ausearch -m USER_CMD -ts today

# Busca por eventos de carregamento de módulo do kernel
ausearch -k kernel_module_load -ts this-month

# Busca por processos executados a partir de /tmp (estágio comum de ataque)

…