Linux-Sicherheitsmonitoring mit Audit-Events
Zusammenfassung
Hilko Bengen zeigt, wie Linux auditd feingranulare Hostereignisse liefert und wie sich das sperrige Format mit vertretbarem Aufwand für Angriffserkennung nutzbar machen lässt. Netzwerküberwachung erkennt viele Angriffe erst zusammen mit Kontext aus dem betroffenen Host.
Ideen
- Auditregeln erfassen sicherheitsrelevante Systemaufrufe und Objektzugriffe.
- Mehrere Rohereignisse gehören häufig zu einer einzigen verständlichen Aktion.
- Normalisierung übersetzt Kernelinformationen in auswertbare Sicherheitsereignisse.
- Gezielte Regeln vermeiden unnötige Datenmengen und CPU-Last.
Einsichten
- Mehr Telemetrie hilft nur, wenn Ereignisse zuverlässig zusammengeführt und priorisiert werden.
Empfehlungen
- Beginne mit wenigen Ereignissen, die konkrete Erkennungsfragen beantworten.
- Miss Datenrate und Verarbeitungsaufwand vor einem breiten Rollout.
Referenzen
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.