Folgen auditd schreibt in /var/log/audit/audit.log, das nur von Root gelesen werden kann. Der schnellste Export eines Zeitfensters im Originalformat ist:
sudo ausearch --raw -ts yesterday > web-03_audit.log
Wenn /var/log/audit nicht existiert, ist auditd nicht installiert. Das ist der Standard bei Debian und Ubuntu. Die Auditing-Ereignisse des Kernels gehen dann ins Journal, wo journalctl _TRANSPORT=audit sie findet.
auditd ist die Antwort von Linux auf „Wer hat was ausgeführt und welche Datei berührt“: Prozesse, Datei-Zugriffe, Berechtigungsänderungen und Kontenänderungen, bis hin zum Syscall. Prime Core hat 1350 Erkennungsregeln für auditd-Daten, die 440 MITRE ATT&CK-Techniken zugeordnet sind. Darunter: böswillige Shell-Nutzung (T1059.004), eingesetzte SSH-Schlüssel (T1098.004) und Berechtigungsänderungen bei sensiblen Dateien (T1222.002).
Bevor du anfängst
Läuft es und was zeichnet es auf?
systemctl is-active auditd
sudo auditctl -l
Bei Systemen der Red Hat-Familie ist auditd standardmäßig installiert; Debian und Ubuntu benötigen das auditd-Paket. Wenn auditctl -l Keine Regeln ausgibt, hast du dennoch eine Basis von Anmeldungen, Authentifizierungen und SELinux-Ablehnungen. Befehlsausführungs- oder Datei-Zugriffsdaten werden jedoch nicht aufgezeichnet, da niemand danach gefragt hat.
Nur Root. /var/log/audit ist streng abgesichert, also plane sudo ein.
Rotation ist auditds eigene. auditd dreht seine Log-Datei selbst, basierend auf max_log_file und num_logs in /etc/audit/auditd.conf, in audit.log.1, audit.log.2 usw. Ältere Geschichte liegt in diesen Dateien.
Das Format erfordert Gewöhnung. Ein Ereignis besteht oft aus mehreren Zeilen (SYSCALL, EXECVE, CWD, PATH, PROCTITLE), die denselben msg=audit(<epoch>:<serial>) Stempel teilen. Werte mit Leerzeichen sind hex-kodiert. Das ist normal.
Schritt 1: Exportieren mit ausearch
ausearch filtert nach Zeit, Aufzeichnungstyp oder Regel-Schlüssel, und –raw behält das Originalformat bei:
# ein Tag, roh
sudo ausearch --raw -ts yesterday -te today > web-03_audit.log
Die Schlüsselwörter today, yesterday, this-week und recent (letzte zehn Minuten) ersparen dir Datumsformate. Explizite Daten folgen deinem Gebietsschema, 10/19/2026 00:00:00 in en_US, was die meisten „keine Übereinstimmungen“ Überraschungen verursacht.
Für einen Upload behalte –raw: Die Originaldaten enthalten mehr als die interpretierte Ansicht.
Wenn du lieber alles nehmen möchtest, verknüpfe die Dateien ältester-zuerst:
sudo cat $(ls -tr /var/log/audit/audit.log*) > web-03_audit_all.log
Schritt 2 (kein auditd): Audit-Ereignisse aus dem Journal holen
Ohne auditd erreichen die Audit-Einträge des Kernels immer noch journald:
sudo journalctl _TRANSPORT=audit --since yesterday -o json --no-pager > web-03_audit.jsonl
Ohne geladene Regeln erwarte hauptsächlich Anmeldungen und SELinux- oder AppArmor-Nachrichten, aber es ist besser als nichts.
Hochladen, säubern und in LogTotal überprüfen
[PROOF: confirm LogTotal parses raw auditd format. If it doesn’t yet, publish this guide with the journal JSON route only, or hold it until support lands.]
- Hochladen. Öffnen logtotal.com und die Datei hineinziehen.
- Säubern. [PROOF: what gets masked in auditd records: usernames, hostnames, IPs, paths]. Look it over before you continue.
- Überprüfen.
Wenn es schiefgeht
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| /var/log/audit existiert nicht | auditd ist nicht installiert | Nutze den Journal-Pfad (Schritt 2) |
| Zugriff verweigert | Kein Root | sudo |
| Nur Anmeldungen, keine Befehle | Keine Ausführungsregeln geladen | Erwartet; Regeln für die Zukunft hinzufügen |
| <keine Übereinstimmungen> von ausearch | Datumsformat entspricht nicht deinem Gebietsschema | Verwende heute, gestern, diese Woche |
| „backlog limit exceeded“ in Kernel-Nachrichten | Der Kernel hat Audit-Ereignisse unter Last verworfen | Behandle das Log als lückenhaft; erhöhe backlog_limit |
FAQ
Soll ich auditd jetzt einschalten?
Ja, für das nächste Mal. Regeln entscheiden alles, also beginne mit einem bekannten Regelsatz, anstatt deine eigenen von Grund auf zu schreiben. Das Audit-Paket liefert Beispielregeln und es gibt gut gepflegte Community-Sets.
auditd oder das Journal: Was ist der wahre Aufzeichner?
Mit auditd aktiv ist /var/log/audit/audit.log der vollständige. Das Journal kann eine teilweise Kopie enthalten, abhängig von der Konfiguration.
