Linux Audit Framework

Linux Audit Framework — инфраструктура аудита в Linux, включающая подсистему аудита ядра и пользовательские компоненты для задания правил, получения и хранения событий. Она фиксирует действия, значимые для безопасности: системные вызовы, изменения атрибутов и файлов, операции с учётными записями, загрузку модулей и изменения политик. Правила аудита задают, какие события и объекты регистрировать, с какими фильтрами по пользователю, процессу, архитектуре системного вызова или пути. Избыточно широкие правила увеличивают объём журналов и нагрузку, а недостаточные оставляют пробелы в расследовании. Журналы должны быть защищены от несанкционированного изменения, а их хранение и передача — рассчитаны по объёму событий. Framework применяют на серверах Linux для расследования инцидентов, контроля привилегированных действий и выполнения требований аудита. Он отличается от обычного syslog: syslog собирает сообщения приложений и служб, а Linux Audit Framework получает события через специализированный механизм ядра с правилами аудита. Он также не заменяет SIEM, который централизует и коррелирует собранные журналы.