ماذا تفعل هذه الوحدة #
auditd هو نظام التدقيق الفرعي في نواة لينكس: يسجّل من يبدأ جلسة، ومن يستخدم sudo، وأيّ الملفات الحسّاسة تُعدَّل، وأيّ استدعاءات النظام تُنفَّذ. وهو أساس أي متطلّب امتثال تقريبًا (CIS، PCI، ISO). والمشكلة أن أدواته الأصلية — auditctl وausearch وaureport — ذات صياغة خشنة وغير ودودة.
تضع وحدة audit طبقةً مقروءةً فوق ذلك: تخبرك بنظرة واحدة إن كان auditd فعّالًا والقواعد محمَّلة، وتسرد الأحداث الأخيرة مع التصفية حسب الوقت أو حسب مفتاح القاعدة، وتعطيك ملخّصًا على هيئة تقرير (تسجيلات الدخول، وsudo/المصادقة، وتغييرات الملفات)، وتتيح لك الاستعلام عن قواعد التدقيق CIS الفعّالة — كل ذلك دون أن تضطر إلى تذكّر رايات كل أداة.
عادةً ما تُحمَّل قواعد auditd في وضع غير قابل للتغيير (immutable) (مقفلة حتى إعادة التشغيل التالية) لكي لا يستطيع أحد تعطيلها وهي فعّالة. لذا سيُنبّه reload إن كان تغييرٌ ما يتطلّب إعادة تشغيل بدلًا من تطبيقه قسرًا.
المهام الشائعة #
اختر ما تريد فعله. تأتي كل وصفة بالأمر مكتوبًا بالفعل — انسخه، وعدّله إن لزم، واضغط نسخ.
1
التحقق مما إذا كان التدقيق فعّالًا
يؤكّد أن auditd يعمل، مع القواعد محمَّلة ودون تراكم (backlog).
اتصل عبر SSH بخادمك بالمستخدم ubuntu وأطلق:
$ sudo imaxe audit statusهل تحتاج المخرجات لسكربت أو لوحة؟ أضِف --json:
$ sudo imaxe audit status --json2
عرض الأحداث الأخيرة
استعلِم عمّا جرى، مع التصفية حسب الوقت أو حسب مفتاح القاعدة.
اسرُد أحداث اليوم في ملخّص مقروء:
$ sudo imaxe audit events --since todayهل تريد فقط أحداث قاعدة بعينها (حسب مفتاحها) وبصيغة JSON؟ اجمع بين --key و--json:
$ sudo imaxe audit events --key identity --jsonausearch. وإن لم تمرّر --since، تُستخدَم النافذة الافتراضية من audit.yml.3
استخراج ملخّص اليوم
تقرير على هيئة aureport: تسجيلات الدخول، وsudo/auth، وتغييرات الملفات.
اطلب الملخّص المُجمَّع للنشاط:
$ sudo imaxe audit summarysudo، وتعديلات الملفات جرى تسجيلها.4
عرض القواعد أو إعادة تحميلها
استعلِم عن القواعد الفعّالة وطبّق التغييرات مع احترام immutable.
اسرُد قواعد التدقيق المحمَّلة الآن (يُكافئ auditctl -l):
$ sudo imaxe audit rules listإن كنت قد عدّلت ملفات القواعد، فأعِد تحميلها. وإن كان النظام في وضع غير قابل للتغيير، فسيُنبّهك الأمر إلى ضرورة إعادة التشغيل:
$ sudo imaxe audit rules list --json
$ sudo imaxe audit reloadإذا خرج events فارغًا، فتحقّق أولًا بـ status من أن auditd فعّال والقواعد محمَّلة. قد تكون نافذة --since قصيرة جدًّا، أو لا تستخدم أيّ قاعدة المفتاح الذي تُصفّي به. استعلِم عن القواعد بـ rules list.
صيغة الاستخدام #
imaxe audit <subcomando> [<subcomando anidado>] [--since T] [--key K] [--json]تقرأ جميع الأوامر الفرعية من نظام التدقيق الفرعي، الذي لا يمكن الوصول إليه إلا كـ root (استخدم sudo). أضِف --json إلى status أو events أو rules list للحصول على مخرجات مقروءة آليًّا، صالحة لكتابة السكربتات واللوحات.
الأوامر الفرعية #
| الأمر الفرعي | ماذا يفعل | الرايات المعنية |
|---|---|---|
| status | الحالة: auditd فعّال، قواعد محمَّلة، وضع immutable وتراكم (backlog). | --json |
| events | يسرد أحداثًا أخيرة قابلة للتصفية، في ملخّص مقروء. | --since, --key, --json |
| summary | ملخّص على هيئة aureport: تسجيلات الدخول، وsudo/auth، وتغييرات الملفات. | — |
| rules | مجموعة إدارة قواعد التدقيق. تتطلّب أمرًا فرعيًّا متداخلًا. | — |
| rules list | يسرد القواعد الفعّالة (يُكافئ auditctl -l). | --json |
| reload | يعيد تحميل القواعد؛ يحترم immutable وينبّه إن كان يتطلّب إعادة تشغيل. | — |
الوسائط والرايات #
| الراية | النوع | الافتراضي | الوصف |
|---|---|---|---|
| --since | string | audit.yml | في events: منذ متى يُسرَد (مثلًا today، recent، 'now-1 hour'). إن حُذفت، تُستخدَم default_since من audit.yml. |
| --key | string | — | في events: يُصفّي حسب مفتاح قاعدة auditd (مثلًا identity). |
| --json | bool | false | في status وevents وrules list: يُصدر النتيجة بصيغة JSON مُهيكَل في stdout. |
لا تقبل summary وrules وreload أي راية: تُنفَّذ كما هي. وتذكّر أن rules يحتاج دائمًا إلى الأمر الفرعي المتداخل list.
الملفات والمسارات #
| المسار | المحتوى |
|---|---|
| /etc/imaxe/audit.yml | إعداد الوحدة: النافذة الافتراضية لـ events (default_since) وبقية الخيارات. |
| /etc/audit/audit.rules | قواعد التدقيق المحمَّلة عند الإقلاع بواسطة auditd (أساس CIS). |
| /etc/audit/rules.d/ | مقاطع قواعد تُجمَّع في المجموعة النهائية. |
| /var/log/audit/audit.log | سجلّ الأحداث الذي يكتبه auditd ويستعلم عنه events/summary. |
مثال على audit.yml:
events:
default_since: todayرموز الخروج والسجلّات #
يعيد كل تنفيذ رمزًا يمكنك فحصه بـ echo $? — مفيد للتسلسل في السكربتات:
تابِع السجلّ مباشرةً أثناء تصحيح الأخطاء:
$ sudo journalctl -u auditd -f
$ sudo tail -f /var/log/audit/audit.logحل المشكلات #
| العَرَض | السبب المحتمل | الحل |
|---|---|---|
| يظهر AUDITD (الرمز 3) | خدمة auditd لا تعمل. | شغّلها بـ systemctl start auditd وأعِد imaxe audit status. |
events لا يعيد شيئًا | نافذة --since قصيرة جدًّا أو مفتاح غير موجود. | وسّع --since (مثلًا 'now-1 hour') أو راجِع المفاتيح بـ rules list. |
reload ينبّه إلى إعادة التشغيل | القواعد في وضع immutable (مقفلة حتى إعادة التشغيل). | اجدوِل إعادة تشغيل لتطبيق التغييرات؛ وحتى ذلك الحين تبقى القواعد السابقة. |
| يظهر USAGE (الرمز 2) | جرى استدعاء rules دون الأمر الفرعي المتداخل. | استخدم imaxe audit rules list: يتطلّب rules دائمًا أمرًا فرعيًّا. |
هل واجهتك مشكلة مع وحدة Audit؟
راسلنا مرفقًا مخرجات «imaxe <module> status --json» وسنرد عليك بسرعة.