auditctlコマンドでLinuxの監査ルールを設定する方法｜ファイルアクセスとコマンド実行の記録手順

この記事のポイント

・auditctl -w でファイルへのアクセスをカーネルレベルで記録できる
・ルールは /etc/audit/rules.d/audit.rules に書くと再起動後も有効になる
・auditctl -l で現在有効なルールを一覧表示できる
・ausearch -f /etc/sudoers でファイル変更の証跡を検索できる

# auditd の状態を確認する
[root@server01 ~]# systemctl status auditd | grep -E "Active|Loaded"
   Loaded: loaded (/usr/lib/systemd/system/auditd.service; enabled; preset: enabled)
   Active: active (running) since Thu 2026-07-10 09:00:12 JST; 2h 15min ago

# 起動していない場合は起動して自動起動を有効化する
[root@server01 ~]# systemctl enable --now auditd

# audit.log の先頭を確認する
[root@server01 ~]# head -5 /var/log/audit/audit.log
type=DAEMON_START msg=audit(1752108012.342:1): op=start ver=3.0.7 format=enriched
type=CONFIG_CHANGE msg=audit(1752108012.345:2): auid=0 ses=1 subj=system_u
type=SYSCALL msg=audit(1752108012.349:3): arch=c000003e syscall=59 success=yes

[root@server01 ~]# auditctl -l
No rules

# ルールが設定されている場合の表示例
[root@server01 ~]# auditctl -l
-w /etc/sudoers -p wa -k sudoers_change
-w /etc/passwd -p wa -k passwd_change
-a always,exit -F arch=b64 -S execve -F uid=0 -k root_cmd

# 基本構文
auditctl -w <パス> -p <アクセス種別> -k <キーワード>

# /etc/sudoers の書き込み・属性変更を監視する例
[root@server01 ~]# auditctl -w /etc/sudoers -p wa -k sudoers_change

# ルールが追加されたことを確認する
[root@server01 ~]# auditctl -l
-w /etc/sudoers -p wa -k sudoers_change

# 基本構文
auditctl -a always,exit -F arch=b64 -S <システムコール名> -F <条件> -k <キーワード>

# root（uid=0）が実行したコマンド（execve）を記録する例
[root@server01 ~]# auditctl -a always,exit -F arch=b64 -S execve -F uid=0 -k root_cmd

# 64ビット+32ビット両方を記録する場合は2行指定する
[root@server01 ~]# auditctl -a always,exit -F arch=b64 -S execve -F uid=0 -k root_cmd
[root@server01 ~]# auditctl -a always,exit -F arch=b32 -S execve -F uid=0 -k root_cmd

# /etc/sudoers の監視ルールを削除する
[root@server01 ~]# auditctl -W /etc/sudoers -p wa -k sudoers_change

# 全ルールを削除する（注意：監視が一切なくなる）
[root@server01 ~]# auditctl -D

# 監査ルールファイルを作成する
[root@server01 ~]# cat /etc/audit/rules.d/local.rules
# === ローカル監査ルール ===

# sudoers の書き込み・属性変更を監視する
-w /etc/sudoers -p wa -k sudoers_change
-w /etc/sudoers.d/ -p wa -k sudoers_change

# passwd・shadow の変更を監視する
-w /etc/passwd -p wa -k passwd_change
-w /etc/shadow -p wa -k shadow_change

# root が実行したコマンドを記録する
-a always,exit -F arch=b64 -S execve -F uid=0 -k root_cmd
-a always,exit -F arch=b32 -S execve -F uid=0 -k root_cmd

# auditd を再起動してルールを読み込む
[root@server01 ~]# service auditd restart

# または augenrules コマンドでルールを再生成して反映する
[root@server01 ~]# augenrules --load

# ルールが反映されたか確認する
[root@server01 ~]# auditctl -l
-w /etc/sudoers -p wa -k sudoers_change
-w /etc/sudoers.d -p wa -k sudoers_change
-w /etc/passwd -p wa -k passwd_change
-w /etc/shadow -p wa -k shadow_change
-a always,exit -F arch=b64 -S execve -F uid=0 -k root_cmd
-a always,exit -F arch=b32 -S execve -F uid=0 -k root_cmd

# 1. 監視ルールを設定する（まだ設定していない場合）
[root@server01 ~]# auditctl -w /etc/sudoers -p wa -k sudoers_change

# 2. sudoers を意図的に変更する（実際の作業を模擬）
[root@server01 ~]# visudo
# （エディタで変更・保存）

# 3. audit.log に記録されているか確認する
[root@server01 ~]# ausearch -k sudoers_change --interpret
----
type=CONFIG_CHANGE msg=audit(1752123456.789:342):
type=SYSCALL msg=audit(1752123456.790:343): arch=x86_64 syscall=openat success=yes
  a0=AT_FDCWD a1="/etc/sudoers.tmp" a2=O_WRONLY|O_CREAT|O_TRUNC a3=0
  ppid=2311 pid=2312 uid=root gid=root euid=root
  comm="visudo" exe="/usr/sbin/visudo"
type=PATH msg=audit(1752123456.791:343): item=0 name="/etc/sudoers.tmp" inode=...
type=PATH msg=audit(1752123456.793:344): item=0 name="/etc/sudoers" ...

# === よく使う監査ルールサンプル ===

# SSH 設定の変更を監視
-w /etc/ssh/sshd_config -p wa -k sshd_config

# cron 設定の変更を監視
-w /etc/crontab -p wa -k cron_change
-w /etc/cron.d/ -p wa -k cron_change

# ユーザー管理コマンドの実行を記録
-a always,exit -F arch=b64 -S execve -F path=/usr/sbin/useradd -k user_mgmt
-a always,exit -F arch=b64 -S execve -F path=/usr/sbin/userdel -k user_mgmt
-a always,exit -F arch=b64 -S execve -F path=/usr/bin/passwd -k user_mgmt

# 特定ディレクトリへのアクセスを監視（読み取りも含む場合）
-w /var/www/html/ -p rwxa -k webroot_access

# su・sudo の実行を記録
-w /bin/su -p x -k su_exec
-w /usr/bin/sudo -p x -k sudo_exec

# 1. auditd の動作確認
[root@server01 ~]# systemctl is-active auditd
active

# 2. ルールが有効か確認
[root@server01 ~]# auditctl -l
-w /etc/sudoers -p wa -k sudoers_change

# 3. auditctl の現在のステータスを確認
[root@server01 ~]# auditctl -s
enabled 1
failure 1
pid 1234
rate_limit 0
backlog_limit 8192
lost 0
backlog 0

# backlog の上限を引き上げる
[root@server01 ~]# auditctl -b 16384

# または /etc/audit/rules.d/local.rules に記述して永続化
-b 16384

# /etc/audit/auditd.conf の設定も見直す
[root@server01 ~]# grep -E "max_log_file|num_logs|backlog" /etc/audit/auditd.conf
num_logs = 5
max_log_file = 50
max_log_file_action = ROTATE

# augenrules で rules.d を変換してから再起動する
[root@server01 ~]# augenrules --check
[root@server01 ~]# service auditd restart

# 変換後の audit.rules を確認する
[root@server01 ~]# cat /etc/audit/audit.rules | grep -v '^
'