T1685.004: 禁用或修改 Linux 审计系统日志

摘要

攻击者可能禁用或修改 Linux 审计系统，以隐藏恶意活动并避免检测。Linux 管理员使用 Linux 审计系统来跟踪系统上安全相关的信息。Linux 审计系统在内核级别运行，并基于预配置的规则维护有关应用程序和系统活动（如进程、网络、文件和登录事件）的事件日志。 通常称为 `auditd`，这是用于将事件写入磁盘的守护进程的名称，并受 `audit.conf` 配置文件中设置的参数管理。配置日志生成规则的主要方式有两种：通过命令行 `auditctl` 实用程序，以及通过 `/etc/audit/audit.rules` 文件（包含在启动时加载的一系列 `auditctl` 命令）。(Citation: IzyKnows auditd threat detection 2022)(Citation: Red Hat Linux Disable or Mod) 拥有 root 权限的攻击者可能能够通过禁用审计系统服务、编辑配置/规则文件，或挂钩审计系统库函数来确保其活动不被记录。使用命令行，攻击者可以通过终止与 `auditd` 守护进程关联的进程或使用 `systemctl` 停止审计服务来禁用审计系统服务。攻击者还可以挂钩审计系统函数以禁用日志记录，或修改 `/etc/audit/audit.rules` 或 `audit.conf` 文件中所含的规则以忽略恶意活动。(Citation: ESET Ebury Feb 2014)