Un constante monitoreo de nuestros servidores nos garantiza la integridad y funcionalidad de estos en todo tiempo, en especial cuando se trata de servidores en ambientes productivos. El realizar de forma periódica auditorias de seguridad al sistema nos garantiza estar al día y un paso adelante ante las posibles amenazas y vulnerabilidades que tenga el sistema.
Las auditorias deben tomarse como una tarea frecuente dentro del área IT para así prevenir en el futuro acciones mucho más radicales que afecten roles, servicios o elementos de los usuarios.
Ahora, Solvetic indicará como podemos generar informes de auditoría los cuales son vitales para reuniones de gestión, soportes o bitácoras de los eventos acontecidos en un servidor, en este caso hablamos de CentOS 7.
De forma predeterminada, se consultan todos los archivos audit.log alojados en el directorio /var/log/audit/ para crear el informe. En el informe será posible especificar un archivo diferente para ejecutar el informe en contra usando el comando aureport -if nombre_archivo.
Aureport nos ofrece diversas alternativas para su uso y cada una nos dará un resultado diferente, estas opciones son las siguientes.
1. Crear informe relativo a las claves de la regla de auditoría aureport
Si usamos el parámetro -k, aureport producirá un informe sobre todas las claves definidas en las reglas de auditoría.
Su ejecución es:
aureport -kSu resultado es el siguiente:
Allí podemos ver información detallada indicando fecha, hora y evento acontecido. Es posible habilitar la interpretación de entidades numéricas en texto (como convertir UID en nombre de cuenta) mediante la opción -i:
aureport -k -i
2. Crear informe sobre los intentos de autenticación en el sistema aureport
Es posible que por razones de seguridad y control necesitemos un reporte sobre todos los eventos relacionados con los intentos de autenticación de todos los usuarios en CentOS 7, para ello usaremos el parámetro -au.
aureport -au aureport -au -iEl resultado será el siguiente:
3. Generar informes asociados a los inicios de sesión aureport
Gracias al parámetro -l será posible indicarle a aureport que genere un informe de todos los inicios de sesión en CentOS 7.
Ejecutaremos lo siguiente:
aureport -lEl resultado obtenido será el siguiente:
Podemos ver en detalle fecha y hora de inicios de sesión.
4. Generar informe de eventos fallidos en el sistema aureport
Si deseamos obtener un reporte sobre los eventos con error en CentOS 7, lo cual es práctico para saber en detalle que evento y cuando fue generado, podemos ejecutar lo siguiente:
aureport –failed
Podemos ver las categorías de eventos con la respectiva cantidad.
5. Generar un informe para un período de tiempo determinado aureport
Con aureport es posible generar informes durante un período de tiempo específico; El parámetro -ts define la fecha y hora de inicio y el valor -te establece una fecha y hora de finalización.
Adicional es posible usar palabras como ahora, recientes, de hoy, de ayer, de esta semana, de semana, de este mes, de este año en lugar de los formatos de tiempo real.
Podemos ejecutar líneas como:
aureport -ts 09/20/2017 08:00:00 -te now --summary -i aureport -ts today -te now --summary -i
6. Generar informes usando un archivo de registro diferente aureport
Es posible crear un informe haciendo uso de un archivo distinto a los archivos de registro predeterminados en el directorio /var/log/audit, para ello debemos usar el indicador -if para referir el archivo:
aureport -l -if /var/log/solvetic/hosts/node3.logOtros de los parámetros útiles a usar con aureport son:
-au, --auth
-a, --avc
-c, --config
-cr, --crypto
-e, --event
-f, --file
--failed
-h, --host
--help
-i, --interpret.
-if, --input file
--input-logs
-k, --key
-l, --login
-m, --mods
-ma, --mac
-n, --anomaly
--node node-name
-p, --pid
-r, --response
-s, --syscall
--success
--resume
-t, --log
-te, --end [end-date] [end-time]
-tm, --terminal
-ts, --start [fecha de inicio] [inicio]
-u, --user
-v, --version
-x, --executable
Finalmente, para obtener ayuda general de la utilidad podemos ejecutar man aureport. De esta forma podemos ver como esta utilidad nos permite generar informes detallados sobre todos los temas de auditoria en ambientes Linux, en este caso CentOS 7, y así llevar una administración mucho más completa sobre los eventos del servidor.
