ausearchコマンドでLinuxの監査ログを検索・分析する方法｜aureportでのレポート生成と実務活用も

この記事のポイント

・auditctl -w でファイルやディレクトリへのアクセスを監視するルールを追加できる
・ausearch -m でイベントタイプを絞り込み、素早く原因ログを特定できる
・ausearch --start today でその日の監査ログだけを抽出できる
・aureport --failed でログイン失敗や権限エラーの集計レポートを作れる
・ausearch -i でUIDやシステムコール番号を人間が読めるテキストに変換できる

# auditdのステータス確認
systemctl status auditd

# auditdが止まっていれば起動
systemctl start auditd

# OS再起動後も自動起動させる
systemctl enable auditd

# systemctl status auditd
* auditd.service - Security Auditing Service
     Loaded: loaded (/usr/lib/systemd/system/auditd.service; enabled; preset: enabled)
     Active: active (running) since Mon 2026-04-28 09:12:04 JST; 1h 15min ago
   Main PID: 1034 (auditd)
      Tasks: 4 (limit: 23246)
     Memory: 8.2M

auditctl -w パス -p パーミッション -k キー名

# /etc/passwd の読み取り・書き込み・属性変更を監視する（キー名: passwd_changes）
auditctl -w /etc/passwd -p rwa -k passwd_changes

# /etc/shadow の全アクセスを監視する
auditctl -w /etc/shadow -p rwxa -k shadow_access

# /etc/sudoers の変更を監視する
auditctl -w /etc/sudoers -p rwa -k sudoers_changes

# /tmp ディレクトリの実行を監視する（マルウェア対策）
auditctl -w /tmp -p x -k tmp_exec

# ルールが登録されたか確認
auditctl -l

-w /etc/passwd -p rwa -k passwd_changes
-w /etc/shadow -p rwxa -k shadow_access
-w /etc/sudoers -p rwa -k sudoers_changes
-w /tmp -p x -k tmp_exec

# UID 1000 以上の一般ユーザーによるファイル削除を監視する
auditctl -a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat -F auid>=1000 -F auid!=4294967295 -k file_deletion

# setuid バイナリの実行を監視する（権限昇格の追跡）
auditctl -a always,exit -F arch=b64 -S execve -C uid!=euid -F euid=0 -k setuid_exec

# root によるファイルオープンを監視する
auditctl -a always,exit -F arch=b64 -S open,openat -F uid=0 -k root_open

# 特定のwatchルールを削除する（-w の代わりに -W を使う）
auditctl -W /etc/passwd -p rwa -k passwd_changes

# すべてのルールを削除する
auditctl -D

# 削除確認
auditctl -l

# 設定ファイルを作成（先頭数字で読み込み順を制御）
vi /etc/audit/rules.d/90-custom.rules

## カスタム監査ルール（/etc/audit/rules.d/90-custom.rules）

# 認証関連ファイルの監視
-w /etc/passwd -p rwa -k passwd_changes
-w /etc/shadow -p rwxa -k shadow_access
-w /etc/group -p rwa -k group_changes
-w /etc/sudoers -p rwa -k sudoers_changes
-w /etc/sudoers.d/ -p rwa -k sudoers_d_changes

# SSH設定ファイルの変更を監視
-w /etc/ssh/sshd_config -p rwa -k sshd_config_changes

# /tmp での実行を監視
-w /tmp -p x -k tmp_exec

# UID 1000以上のファイル削除
-a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat -F auid>=1000 -F auid!=4294967295 -k file_deletion

# augenrules で rules.d 配下を結合して /etc/audit/audit.rules に反映
augenrules --load

# または auditd を再起動して反映（RHEL系は service コマンド経由で）
service auditd restart

# 反映確認
auditctl -l

# ログイン失敗のイベントだけ抽出
ausearch -m USER_AUTH --success no

# ファイル変更イベントを確認
ausearch -m PATH

# sudoコマンドの実行履歴
ausearch -m USER_CMD

# SELinuxのアクセス拒否イベント
ausearch -m AVC

# 今日のログだけ確認
ausearch --start today

# 昨日のログ
ausearch --start yesterday --end today

# 特定日時の範囲を指定（MM/DD/YYYY HH:MM:SS形式）
ausearch --start 04/27/2026 10:00:00 --end 04/27/2026 18:00:00

# 直近10分以内のログ
ausearch --start recent

# 特定ユーザーの操作履歴を確認（UID or ユーザー名）
ausearch -ua tomohiro

# rootによる操作のみ
ausearch -ua root

# 特定プロセスIDのログ
ausearch -p 12345

# コマンド名で絞り込む
ausearch -c passwd

# /etc/passwdへのアクセスを検索
ausearch -f /etc/passwd

# /etc/shadowへの書き込み操作
ausearch -f /etc/shadow

# /etc/sudoersの変更履歴
ausearch -f /etc/sudoers

# /etc/passwd・/etc/shadowを書き込み監視するルール追加例
auditctl -w /etc/passwd -p wa -k passwd-change
auditctl -w /etc/shadow -p wa -k shadow-change

# 設定を永続化する場合は /etc/audit/rules.d/audit.rules に記述
echo '-w /etc/passwd -p wa -k passwd-change' >> /etc/audit/rules.d/audit.rules

# キー名でログを検索
ausearch -k passwd_changes

# キー名 + 可読形式変換を組み合わせ
ausearch -k passwd_changes -i

# キー名 + 今日の日付を組み合わせ
ausearch -k sudoers_changes --start today -i

# UIDをユーザー名に、syscallを名前に変換
ausearch -m USER_CMD -i

# 時間範囲と組み合わせ
ausearch --start today -m USER_AUTH -i

# 全体サマリーを表示
# aureport

Summary Report
======================
Range of time in logs: 04/01/2026 00:00:01.219 - 04/28/2026 09:45:22.771
Selected time range:   04/01/2026 00:00:01.219 - 04/28/2026 09:45:22.771
Number of changes in configuration: 3
Number of changes to accounts, groups, or roles: 2
Number of logins: 47
Number of failed logins: 5
Number of authentications: 62
Number of failed authentications: 8
Number of users: 3
Number of terminals: 6
Number of host names: 4
Number of executables: 18
Number of commands: 24
Number of files: 12
Number of AVC's: 0
Number of MAC events: 0
Number of failed syscalls: 11
Number of anomaly events: 0
Number of responses to anomaly events: 0
Number of crypto events: 91
Number of integrity events: 0
Number of key events: 23
Number of process IDs: 156
Number of events: 1842

# 認証失敗のレポート
aureport --auth --failed

# 実行されたコマンドのレポート
aureport --comm

# ログイン成功・失敗の一覧
aureport --login

# ファイルアクセスのレポート
aureport --file

# 失敗したシステムコールの集計
aureport --syscall --failed

# 時間範囲を指定してレポート生成
aureport --start today --login

# AVCイベント（SELinux拒否）のレポート
aureport --avc

# キー別のイベント数を確認（負荷の高いルールを特定）
aureport -k | sort -k 1 -n -r | head -20

# aureport --auth --failed

Authentication Report
============================================
# date time acct host term exe success event
============================================
1. 04/26/2026 22:14:35 unknown 203.0.113.xx ssh /usr/sbin/sshd no 1720
2. 04/26/2026 22:14:41 root 203.0.113.xx ssh /usr/sbin/sshd no 1722
3. 04/27/2026 03:05:17 admin 198.51.100.xx ssh /usr/sbin/sshd no 1891

## /etc/audit/rules.d/99-cis-basic.rules

# 時刻変更の監視
-a always,exit -F arch=b64 -S adjtimex,settimeofday -k time_change
-a always,exit -F arch=b64 -S clock_settime -k time_change
-w /etc/localtime -p wa -k time_change

# ユーザー・グループ管理ファイルの監視
-w /etc/group -p wa -k identity
-w /etc/passwd -p wa -k identity
-w /etc/gshadow -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/security/opasswd -p wa -k identity

# ネットワーク設定変更の監視
-a always,exit -F arch=b64 -S sethostname,setdomainname -k system_locale
-w /etc/issue -p wa -k system_locale
-w /etc/hosts -p wa -k system_locale

# ログイン・ログアウトの監視
-w /var/log/faillog -p wa -k logins
-w /var/log/lastlog -p wa -k logins

# 特権コマンドの監視（setuid/setgidバイナリ）
-a always,exit -F arch=b64 -S execve -C uid!=euid -F euid=0 -k setuid

# sudo の使用監視
-w /etc/sudoers -p wa -k sudoers_changes
-w /etc/sudoers.d -p wa -k sudoers_changes

## Webサーバー管理向けルール例

# Apache/Nginx の設定ファイル変更を監視
-w /etc/httpd/conf/ -p wa -k httpd_config
-w /etc/httpd/conf.d/ -p wa -k httpd_config
-w /etc/nginx/nginx.conf -p wa -k nginx_config
-w /etc/nginx/conf.d/ -p wa -k nginx_config

# DocumentRoot へのファイル書き込み監視（改ざん検知）
-w /var/www/html/ -p wa -k www_changes

# cron の変更を監視
-w /etc/cron.d/ -p wa -k cron_changes
-w /etc/crontab -p wa -k cron_changes
-w /var/spool/cron/ -p wa -k cron_changes

# sudoでrootになった操作をユーザー別に集計
ausearch -m USER_CMD -i | grep "cmd=" | awk '{print $NF}' | sort | uniq -c | sort -rn

# 特定ホストからのSSHログイン試行を抽出
ausearch -m USER_AUTH --start today -i | grep "addr=192.168."

# /etc以下の設定ファイルへの書き込みを抽出
ausearch -m PATH --start today -i | grep "nametype=CREATE\|nametype=DELETE"

#!/bin/bash
# /etc/cron.weekly/audit-report.sh

REPORT_DATE=$(date +%Y-%m-%d)
REPORT_FILE="/tmp/audit-report-${REPORT_DATE}.txt"

{
  echo "===== 監査レポート: ${REPORT_DATE} ====="
  echo ""
  echo "--- 認証失敗 ---"
  aureport --auth --failed --start "$(date -d '7 days ago' '+%m/%d/%Y')" --end today
  echo ""
  echo "--- sudo実行コマンド ---"
  aureport --comm --start "$(date -d '7 days ago' '+%m/%d/%Y')" --end today
  echo ""
  echo "--- ファイルアクセス ---"
  aureport --file --start "$(date -d '7 days ago' '+%m/%d/%Y')" --end today
} > "${REPORT_FILE}"

# メール送信（mailコマンドが使える環境の場合）
mail -s "週次監査レポート ${REPORT_DATE}" admin@example.com < "${REPORT_FILE}"

# rootで実行する場合
sudo ausearch -m USER_AUTH

# または sudo -i でrootシェルへ切り替え
sudo -i
ausearch -m USER_AUTH

# エラーメッセージを確認する
journalctl -u auditd -n 50

# ディスク容量を確認（audit.log が満杯になると auditd が停止することがある）
df -h /var/log/