在Ubuntu系统中，监控敏感文件（如/etc/passwd、/etc/shadow或业务配置文件）的访问和修改，是安全防护的关键环节。直接有效的方案是配置auditd审计守护进程，通过自定义规则实时跟踪文件变动、记录用户操作，并结合告警机制实现主动防御。下面将详细说明如何部署规则、优化配置及处理审计日志。

auditd核心组件与安装部署

auditd是Linux内核的审计子系统用户空间工具，它捕获系统调用和文件事件，日志存储在/var/log/audit/audit.log。在Ubuntu上安装命令为：

sudo apt update && sudo apt install auditd audispd-plugins

启动服务并设置开机自启：

sudo systemctl start auditd && sudo systemctl enable auditd

关键配置文件包括/etc/audit/auditd.conf（守护进程参数）、/etc/audit/rules.d/audit.rules（规则定义）。规则分为永久性（写入配置文件）和临时性（通过auditctl动态添加），建议两者结合使用。

编写监控敏感文件的audit规则

规则语法聚焦于文件路径、权限和关键动作。例如监控/etc/passwd的读取和修改，使用auditctl添加规则：

sudo auditctl -w /etc/passwd -p warx -k sensitive_passwd

其中-w指定监控路径，-p定义权限：r读取、w写入、a属性修改、x执行，-k为自定义关键词便于日志过滤。要监控目录下所有文件（如/etc/ssh/），规则为：

sudo auditctl -w /etc/ssh/ -p wa -k ssh_config

永久规则需写入/etc/audit/rules.d/audit.rules，格式相同但省略auditctl命令前缀，例如：

-w /etc/shadow -p warx -k sensitive_shadow

保存后重启服务生效：

sudo systemctl restart auditd

高级规则策略与性能优化

针对复杂场景，可组合规则提升精度。例如只记录非root用户对/etc/sudoers的写入：

-a always,exit -F path=/etc/sudoers -F perm=w -F auid!=0 -k sudoers_change

这里-F添加条件字段，auid表示原始用户ID。为避免日志爆炸，需排除无关进程或路径，例如忽略/var/log/audit/自身访问：

-a never,exit -F dir=/var/log/audit/

性能方面，规则过多可能影响I/O，建议：

(1)限制监控范围至核心文件；

(2)使用缓冲区调整（在auditd.conf中设置max_log_file_action为keep_logs）；

(3)定期清理旧日志（通过logrotate或自定义脚本）。

审计日志分析与告警集成

日志查询使用ausearch工具，例如按关键词搜索：

sudo ausearch -k sensitive_passwd -i

-i将数字ID转换为可读名称。生成报告用aureport：

sudo aureport --file -i

要实现实时告警，可结合audispd插件将事件转发至SIEM系统，或编写脚本监控日志新增条目。例如用Python监听audit.log，检测到敏感文件访问时发送邮件：

import subprocess, smtplib
log_check = subprocess.run(['ausearch', '-k', 'sensitive_shadow', '--raw'], capture_output=True)
if log_check.returncode == 0:
    # 触发告警逻辑
    pass

注意日志权限需严格限制（仅root可读），避免自身成为攻击目标。

企业级部署与合规实践

在生产环境中，auditd规则需符合PCI DSS、HIPAA等合规要求。建议基线包括：

(1)监控所有系统二进制文件（/bin、/usr/bin）的修改；

(2)跟踪用户身份变更（如passwd命令调用）；

(3)记录特权操作（sudo或su）。可通过工具自动化部署，例如使用Ansible模板批量分发规则文件：

- name: Deploy audit rules
  template:
    src: audit.rules.j2
    dest: /etc/audit/rules.d/audit.rules
  notify: restart auditd

定期审计规则有效性，模拟攻击测试检测漏洞。同时将日志同步至远程syslog服务器，确保攻击者无法本地擦除痕迹。

常见问题排查与替代方案

若规则未生效，检查顺序：

(1)auditd服务状态（systemctl status auditd）；

(2)规则语法错误（auditctl -l列出活跃规则）；

(3)内核支持（lsmod | grep audit）。常见错误包括路径拼写错误或权限参数无效。auditd并非唯一选择，对于轻量级监控，可考虑inotify-tools实时监听文件系统事件：

inotifywait -m /etc/passwd -e modify,access

或使用OSSEC等HIDS进行集成安全监控。但auditd优势在于内核级深度集成，适合对审计粒度要求高的场景。

总之，Ubuntu上通过auditd监控敏感文件，需从规则设计、日志管理和告警响应三层构建闭环。重点保持规则简洁、日志可读，并定期审查策略以适应业务变化。实施后，系统不仅能快速发现异常访问，还为取证和合规提供坚实数据基础。