auditdでLinuxのファイル改竄検知を行う - Qiita

はじめに Linuxでファイル改竄検知をやろうと思ってauditdを試したメモです。 ファイルの改竄検知としては Tripwire が有名ですが、Linuxであればauditdを使うことも可能です。AmazonLinuxだとデフォルトで入ってたので、設定ファイルを書くだけで使えます。 Tripwireは予めファイルのチェックサムのデータベースを作っておいて、これをファイルを比較することで、ファイルの改竄を検知します。同じようにファイルのチェックサムベースで比較するものとしてAIDEというツールもあるようです。 一方auditdは仕組みとしてはLinuxカーネルでシステムコールを記録して、特定の条件にマッチする操作をログに出力します。なので、若干守備範囲の違うツールですが、システムコールを監視することでもファイルの変更は監視できます。 LinuxのAuditのアーキテクチャや説明などは、Re

[fulabo77]

見やすくてよい。

[miraishonen99]

“ファイル改竄検知”

[BigFatCat]

auditd

[memoyashi]

auditdでファイル監査

[tmatsuu]

auditdを改ざん検知として使うのは機能不足感があるのと、性能低下のコストは高い気がしますがどうでしょう。

[nakeddiver]

“Linuxでファイル改竄検知を行う方法としてauditdを使った方法を紹介しました。”

[typex2]

改ざん検知するならゲストマシン上からでなく、ホストマシン上からゲストマシンの改ざん検知をしたいね。改ざん検知システムが侵されたなら意味ないし。