Subsistema de auditoría

El sistema de auditoría tiene dos mitades. Dentro del núcleo vive el subsistema que mira las llamadas al sistema y compara cada una con las reglas cargadas; cuando hay coincidencia, genera un registro. Fuera, en espacio de usuario, el demonio auditd recibe esos registros y los guarda en el archivo del registro. Las utilidades como auditctl, ausearch y aureport son herramientas de las personas: cargan reglas, buscan y resumen.

Abre componentes y lee cada fila. La separación importa para detectar: si el demonio se atrasa o el disco se llena, el núcleo sigue decidiendo, pero lo que llega al archivo puede ser menos.

Un solo hecho, como la ejecución de un programa, deja varias líneas: una por tipo de registro. SYSCALL describe la llamada y quién la hizo; EXECVE guarda los argumentos del programa; CWD, el directorio de trabajo; PATH, el archivo implicado. Todas comparten la marca audit(tiempo:número): el número es el que une las líneas de un mismo evento.

Abre registros_de_dos_eventos. Hay dos eventos. Solo uno de ellos ejecutó un programa con argumentos.

En el evento anterior, uid=0 dice que el programa corrió con los permisos de root. Eso no dice quién estaba detrás. El campo auid guarda la cuenta con la que se inició la sesión y se conserva aunque la persona cambie de usuario con sudo o su. Por eso, para atribuir una acción, se mira auid, no uid.

Compara el auid de la línea SYSCALL del evento con la tabla cuentas.

El subsistema mantiene una cola de eventos pendientes de entregar a auditd, con un tamaño máximo. Si la cola se llena, el núcleo descarta registros y los cuenta en el campo lost del estado. Un valor distinto de cero significa que hay hechos que ocurrieron y que ningún registro cuenta.

Abre estado_de_auditoria, que muestra lo que dejó el estado del subsistema al abrir el servidor.

Un compañero abre un servidor nuevo y ve que la auditoría está activa, pero que no hay ninguna regla cargada. Concluye que, entonces, no se registra absolutamente nada. Piensa en lo que ya sabes de las dos mitades: las reglas gobiernan las llamadas al sistema que se vigilan, pero programas como el servicio de acceso remoto o los de inicio de sesión envían sus propios mensajes de auditoría al núcleo.