go-audit

go-audit

Go语言实现的Linux审计日志系统

go-audit是一个用Go语言编写的Linux审计日志系统,旨在替代传统的auditd守护进程。它具有类型安全和高性能的特点,输出JSON格式日志,支持多种输出方式如syslog、本地文件和Graylog2等。通过netlink与Linux内核通信,go-audit提供了安全、快速和灵活的审计日志功能。

go-audit审计守护进程JSON输出Linux内核性能优化Github开源项目

go-audit

许可证

关于

go-audit 是许多发行版中自带的 auditd 守护进程的替代品。在创建了一个将审计日志转换为 json 的 auditd audisp 插件后,我开始对创建一个替代现有守护进程的方案感兴趣。

目标
  • 安全:使用现代、类型安全和高性能的语言编写
  • 快速:尽可能避免阻塞
  • 输出 json:好耶
  • 可插拔的管道:可以写入 syslog、本地文件、Graylog2 或标准输出。可轻松编写其他输出方式
  • 通过 netlink 连接到 Linux 内核(信息在这里这里

使用方法

安装
  1. 安装 golang,需要 1.14 或更高版本

  2. 克隆仓库

    git clone (此仓库)
    cd go-audit
    
  3. 构建二进制文件

    make
    
  4. 将二进制文件 go-audit 复制到你想要的位置

测试
  • make test - 运行单元测试套件
  • make test-cov-html - 运行单元测试并打开代码覆盖率结果
  • make bench - 运行基准测试套件
  • make bench-cpu - 运行带 CPU 分析的基准测试套件
  • make bench-cpulong - 运行带 CPU 分析的基准测试套件,并尝试获取一些垃圾回收信息
作为服务运行

查看 contrib 文件夹,其中包含如何在你的机器上将 go-audit 作为正式服务运行的示例。

配置示例

参见 go-audit.yaml.example

常见问题

我在日志中看到 Error during message receive: no buffer space available

这是因为 go-audit 接收数据的速度不及你的系统生成数据的速度。你可以增加系统范围的接收缓冲区,也许会有所帮助。最好尝试减少 go-audit 需要处理的数据量。

如果减少审计速度不是一个选项,你可以尝试在配置中增加 socket_buffer.receive 的值。 有关更多信息,请参见配置示例

socket_buffer:
    receive: <一个比(当前值 * 2)更大的数字>

有时文件没有 name,只有 inode,这是为什么?

内核并不总是知道文件访问的文件名。从 inode 确定文件名是昂贵且容易出错的。

不过,你可以映射回一个文件名,可能不是触发审计行的那个文件名。

sudo debugfs -R "ncheck <要映射的 inode>" /dev/<你的块设备在这里>

我不喜欢数学,想让你告诉我使用哪个 syslog 优先级

使用默认值,或参考这个方便的表格。

维基百科有一个关于这个的很好的页面

emerg (0)alert (1)crit (2)err (3)warn (4)notice (5)info (6)debug (7)
kernel (0)01234567
user (1)89101112131415
mail (2)1617181920212223
daemon (3)2425262728293031
auth (4)3233343536373839
syslog (5)4041424344454647
lpr (6)4849505152535455
news (7)5657585960616263
uucp (8)6465666768697071
clock (9)7273747576777879
authpriv (10)8081828384858687
ftp (11)8889909192939495
ntp (12)96979899100101102103
logaudit (13)104105106107108109110111
logalert (14)112113114115116117118119
cron (15)120121122123124125126127
local0 (16)128129130131132133134135
local1 (17)136137138139140141142143
local2 (18)144145146147148149150151
local3 (19)152153154155156157158159
local4 (20)160161162163164165166167
local5 (21)168169170171172173174175
local6 (22)176177178179180181182183
local7 (23)184185186187188189190191

我在 syslog 中看到重复的条目!

这可能是因为你正在运行 journald,它也在读取审计事件。要禁用它,你需要在 journald 中禁用该功能。

sudo systemctl mask systemd-journald-audit.socket

感谢!

感谢 Hardik Juneja、Arun Sori、Aalekh Nigam Aalekhn 通过 https://github.com/mozilla/audit-go 提供的灵感

编辑推荐精选

讯飞智文

讯飞智文

一键生成PPT和Word,让学习生活更轻松

讯飞智文是一个利用 AI 技术的项目,能够帮助用户生成 PPT 以及各类文档。无论是商业领域的市场分析报告、年度目标制定,还是学生群体的职业生涯规划、实习避坑指南,亦或是活动策划、旅游攻略等内容,它都能提供支持,帮助用户精准表达,轻松呈现各种信息。

AI办公办公工具AI工具讯飞智文AI在线生成PPTAI撰写助手多语种文档生成AI自动配图热门
讯飞星火

讯飞星火

深度推理能力全新升级,全面对标OpenAI o1

科大讯飞的星火大模型,支持语言理解、知识问答和文本创作等多功能,适用于多种文件和业务场景,提升办公和日常生活的效率。讯飞星火是一个提供丰富智能服务的平台,涵盖科技资讯、图像创作、写作辅助、编程解答、科研文献解读等功能,能为不同需求的用户提供便捷高效的帮助,助力用户轻松获取信息、解决问题,满足多样化使用场景。

热门AI开发模型训练AI工具讯飞星火大模型智能问答内容创作多语种支持智慧生活
Spark-TTS

Spark-TTS

一种基于大语言模型的高效单流解耦语音令牌文本到语音合成模型

Spark-TTS 是一个基于 PyTorch 的开源文本到语音合成项目,由多个知名机构联合参与。该项目提供了高效的 LLM(大语言模型)驱动的语音合成方案,支持语音克隆和语音创建功能,可通过命令行界面(CLI)和 Web UI 两种方式使用。用户可以根据需求调整语音的性别、音高、速度等参数,生成高质量的语音。该项目适用于多种场景,如有声读物制作、智能语音助手开发等。

Trae

Trae

字节跳动发布的AI编程神器IDE

Trae是一种自适应的集成开发环境(IDE),通过自动化和多元协作改变开发流程。利用Trae,团队能够更快速、精确地编写和部署代码,从而提高编程效率和项目交付速度。Trae具备上下文感知和代码自动完成功能,是提升开发效率的理想工具。

AI工具TraeAI IDE协作生产力转型热门
咔片PPT

咔片PPT

AI助力,做PPT更简单!

咔片是一款轻量化在线演示设计工具,借助 AI 技术,实现从内容生成到智能设计的一站式 PPT 制作服务。支持多种文档格式导入生成 PPT,提供海量模板、智能美化、素材替换等功能,适用于销售、教师、学生等各类人群,能高效制作出高品质 PPT,满足不同场景演示需求。

讯飞绘文

讯飞绘文

选题、配图、成文,一站式创作,让内容运营更高效

讯飞绘文,一个AI集成平台,支持写作、选题、配图、排版和发布。高效生成适用于各类媒体的定制内容,加速品牌传播,提升内容营销效果。

热门AI辅助写作AI工具讯飞绘文内容运营AI创作个性化文章多平台分发AI助手
材料星

材料星

专业的AI公文写作平台,公文写作神器

AI 材料星,专业的 AI 公文写作辅助平台,为体制内工作人员提供高效的公文写作解决方案。拥有海量公文文库、9 大核心 AI 功能,支持 30 + 文稿类型生成,助力快速完成领导讲话、工作总结、述职报告等材料,提升办公效率,是体制打工人的得力写作神器。

openai-agents-python

openai-agents-python

OpenAI Agents SDK,助力开发者便捷使用 OpenAI 相关功能。

openai-agents-python 是 OpenAI 推出的一款强大 Python SDK,它为开发者提供了与 OpenAI 模型交互的高效工具,支持工具调用、结果处理、追踪等功能,涵盖多种应用场景,如研究助手、财务研究等,能显著提升开发效率,让开发者更轻松地利用 OpenAI 的技术优势。

Hunyuan3D-2

Hunyuan3D-2

高分辨率纹理 3D 资产生成

Hunyuan3D-2 是腾讯开发的用于 3D 资产生成的强大工具,支持从文本描述、单张图片或多视角图片生成 3D 模型,具备快速形状生成能力,可生成带纹理的高质量 3D 模型,适用于多个领域,为 3D 创作提供了高效解决方案。

3FS

3FS

一个具备存储、管理和客户端操作等多种功能的分布式文件系统相关项目。

3FS 是一个功能强大的分布式文件系统项目,涵盖了存储引擎、元数据管理、客户端工具等多个模块。它支持多种文件操作,如创建文件和目录、设置布局等,同时具备高效的事件循环、节点选择和协程池管理等特性。适用于需要大规模数据存储和管理的场景,能够提高系统的性能和可靠性,是分布式存储领域的优质解决方案。

下拉加载更多