如何配置auditd从/proc内核文件目录收集日志

Question

我已经找了三天了，空手而归。我正在寻找一种方法，以建立一个威胁警报，基于Linux的证书倾倒在斯普伦克。

为此，我需要能够监视/proc目录。我发现了审计和auditd (审计deamon)，但我不知道如何实际配置auditd来监视/proc。如果我能做到这一点，我就可以将audit.log连接到Splunk。

我至少要监视：

/proc/<PID>/maps
/proc/<PID>/mem
/proc/<PID>/cmdline

但理想情况下，我希望监控/proc中的一切。

这里有人做过这种事吗？如果是这样的话，我真的很感激你的帮助。

此外:我还找到了klogd (内核日志deamon)、syslogd和ps以及顶级组合，但我也不知道如何将其配置为/proc，甚至不知道这是否是我所需要的。

如有任何建议，敬请谅解！

当然，我对其他方法和想法持开放态度。

Answer 1

有几个选项，其中之一是Filebeat + Graylog (参见https://www.graylog.org/post/back-to-basics-working-with-linux-audit-daemon-log-file上的写)，您也可以使用NXLog进行Linux审计日志记录(参见https://nxlog.co/documentation/nxlog-user-guide/linux-audit.html)。