[Linux] Audit 감사 시스템

 

안녕하세요. 주식회사 서버몬 입니다.

 

오늘은 Linux 감사(Audit) 시스템에 대해서 알아보겠습니다.

 

Linux 서버를 운영하다 보면 누가, 언제, 어떤 파일을 변경했는지 또는 어떤 명령을 실행했는지 확인해야 하는 경우가 있습니다.

 

대표적으로 다음과 같은 상황에서 Audit 기능이 필요합니다.

- 시스템 설정 파일이 변경되었을 때

- 관리자가 수행한 작업을 추적해야 할 때

- 보안 사고 발생 시 원인을 분석해야 할 때

 

이러한 기능을 제공하는 것이 Auditd 입니다.

 

Auditd란?

Auditd는 Linux Kernel Audit Framework와 연동하여

시스템에서 발생하는 보안 관련 이벤트를 수집하고 기록하는 감사(Audit) 서비스입니다.

 

관리자 작업 이력, 파일 변경, 사용자 로그인, 권한 상승 등의 이벤트를 기록하여

보안 사고 분석 및 감사에 활용 됩니다.

 

주요 기능

 • 파일 및 디렉터리 변경 감시
 • 사용자 로그인 및 인증 기록
 • 명령어 실행 이력 추적
 • sudo 및 권한 상승 기록
 • 보안 감사 및 사고 분석

 

 

Auditd 구성

구성도

 

Audit 로그는 기본적으로 /var/log/audit/audit.log 파일에 저장됩니다.

 

구성 요소 설명

구성 요소	설명
User Process	사용자가 실행하는 명령, 프로그램 실행, 로그인 등의 시스템 활동을 의미합니다.
Linux Kernel Audit Framework	커널에서 시스템 호출(syscall)과 보안 관련 이벤트를 감지하고 감사 이벤트를 생성합니다.
auditd	커널에서 전달받은 감사 이벤트를 수집하고 감사 정책에 따라 관리합니다.
Audit Log	수집된 감사 이벤트를 파일 형태로 저장합니다. 기본 저장 위치는 /var/log/audit/audit.log입니다.
ausearch / aureport	저장된 감사 로그를 검색하고 통계 및 보고서 형태로 분석합니다.

 

 

동작 흐름

사용자 작업
      ↓
Kernel Audit Framework
      ↓
auditd
      ↓
Audit Log 저장
      ↓
ausearch / aureport 분석

 

 

Auditd 설치 및 명령어

설치 환경은 Rocky 9.7 운영체제에서 설치하여 테스트 했습니다.

 

지원하는 운영체제

RHEL , CentOS, Rocky , AlmaLinux, Oracle Linux, Ubuntu, Debian

 

Auditd 설치

dnf install -y audit 
#audit설치
systemctl enable --now auditd
systemctl status auditd

 

 

주요 명령어

명령어	설명
auditctl	Audit Rule 조회 및 실시간 관리
ausearch	감사 로그 검색 및 이벤트 조회
aureport	감사 로그 기반 보고서 생성
augenrules	Rule 파일을 병합하여 Audit Rule 적용
auditd	Linux Audit 이벤트 수집 및 관리 데몬

 

 

 

Audit Rule 설정 및 옵션 설명

Audit Rule 확인

auditctl -l 명령으로 현재 적용된 Audit Rule을 확인할 수 있습니다.

룰 적용 전 

룰 적용 후 

 

 

Audit Rule 작성

#예제)
auditctl -w /etc/passwd -p wa -k passwd_change
auditctl -w /etc/group -p wa -k group_change
auditctl -w /etc/hosts -p wa -k hosts

#해석)
- /etc/passwd 파일을 감시
- 파일의 쓰기(Write) 및 속성(Attribute) 변경을 기록
- passwd_change라는 Key를 지정하여 검색 가능

 

 

 

위와 같은 방식으로 /etc/hosts 등 필요한 파일을 감시 대상으로 추가 할 수 있습니다.

 

Audit Rule 옵션 설명

옵션	설명
-w	감시 대상 파일 또는 디렉터리 지정
-p	감시할 권한 지정
w	파일 내용 쓰기(Write) 감시
a	파일 속성 변경(Attribute) 감시
-k	검색용 키(Key) 지정

 

 

 

 

 

Audit 로그 검색

적용된 Audit Rule에 의해 생성된 감사 로그를 조회하는 방법입니다.

 

기본 사용법

ausearch -k passwd_change
#passwd_change 키로 기록된 이벤트 검색
ausearch -ts today
#오늘 발생한 감사 로그 검색
ausearch -ts recent
#최근 감사 이벤트 검색
ausearch -ua root
#root 사용자가 발생시킨 이벤트 검색

 

 

주요 옵션

옵션	설명	예시
-a	Audit Event ID(이벤트 번호)로 검색	ausearch -a 12345
-k	Rule에 지정한 Key로 검색	ausearch -k passwd_change
-m	메시지(Event) 유형으로 검색	ausearch -m USER_LOGIN
-ua	Audit User ID(AUID)로 검색	ausearch -ua root
-ui	Linux 사용자 ID(UID)로 검색	ausearch -ui root
-ts	시작 시간 지정	ausearch -ts today
-te	종료 시간 지정	ausearch -ts today -te now
-f	특정 파일 관련 이벤트 검색	ausearch -f /etc/passwd
-x	실행된 프로그램 기준 검색	ausearch -x sudo
-c	Command Name으로 검색	ausearch -c passwd
-i	UID, GID, syscall 등을 사람이 읽기 쉬운 형태로 변환	ausearch -k passwd_change -i
-sc	System Call 이름으로 검색	ausearch -sc execve
--success yes	성공한 이벤트만 검색	ausearch --success yes
--success no	실패한 이벤트만 검색	ausearch --success no

 

 

테스트

1. hosts 파일을 수정

 

 

2. hosts 파일 수정 후 로그 확인

(tail -f /var/log/audit/audit.log)

/etc/hosts 수정 후 ausearch -k hosts 실행 결과

success=yes, comm=echo, key=hosts 등이 표시되는 화면

 

3. 이벤트 번호로 필요한 정보 출력

 

운영 시 참고 사항

Audit는 Linux Kernel 수준에서 동작하므로,

과도한 Rule 설정은 시스템 성능과 로그 용량 증가에 영향을 줄 수 있습니다.

• 필요한 파일만 감시
• /tmp와 같은 빈번히 변경되는 디렉터리 감시는 지양
• 로그 순환(Log Rotation) 설정 확인
• 디스크 용량 모니터링

 

Auditd는 Linux 서버의 보안 및 감사 기능을 제공하는 핵심 구성 요소입니다.

 

중요한 시스템 파일과 관리자 권한 사용 이력을 감사 대상으로 설정하면 변경 사항을 효과적으로 추적할 수 있으며,

보안 사고 발생 시 원인 분석과 대응에도 큰 도움이 됩니다.

 

이번 글에서 소개한 Audit Rule과 ausearch 활용 방법을 바탕으로 서버 환경에 맞는 감사 정책을 구성해 보시기 바랍니다

 

1U서버 / 2U서버 / AI서버 / alyac / APC / APC UPS / backup / carepack / centos / chakramax / cuda / DAS / DB / DB서버 / defog / DEFOG랙 / dell5820 / dell5820t / dell7920 / dellpoweredge / dellr240 / dellr340 / dellr350 / dellr450 / dellr540 / dellr630 / dellr640 / dellr740 / dellr750 / dellserver / dellt40 / dellt440 / dellt5820 / dell서버 / DELL서버CPU / DELL서버RAID컨트롤러 / DELL서버SAS하드디스크 / DELL서버가격비교 / DELL서버가격비교견적 / DELL서버견적 / DELL서버구매 / DELL서버디스크교체 / DELL서버메모리 / dell서버서버몬 / DELL서버펌웨어 / DELL서버하드디스크구매 / dell옵션 / dell워크스테이션 / dl20 / dl20gen10 / dl20gen11 / dl360 / dl360gen10 / dl360gen11 / dl380 / dl380g10 / dl380gen10 / dl380gen11 / ECC메모리 / EDFOG랙가격 / embedded / est security / ESTSOFT / FIRMWARE / GPU / gpu서버 / gpu타워형서버 / greenlake / HA솔루션 / HP GPU / hp hdd / hpdl20 / HPDL20Gen10 / hpdl360 / hpdl360gen10 / hpdl380 / hpdl380g10 / HPDL380Gen10 / HPE / HPE GPU / hpe hdd / hpe rok / HPE Service Pack for Proliant / HPE SPP / hpe ssa / hpedl20 / hpedl20gen10 / hpedl360gen10 / hpe서버 / HPE서버CPU / HPE서버RAID컨트롤러 / HPE서버SAS하드디스크 / HPE서버가격비교 / HPE서버가격비교견적 / HPE서버견적 / HPE서버구매 / HPE서버드라이버설치 / HPE서버디스크교체 / HPE서버메모리 / HPE서버비용 / hpe서버소음 / HPE서버펌웨어 / HPE서버하드디스크구매 / hpe옵션 / hpe정품 / hpgen10 / hpml30 / hpserver / hpz2 / hpz4 / hpz4g4 / hpz6g4 / hpz8g4 / hp마이크로서버 / hp서버 / hp서버cto / hp서버pc / HP서버메모리 / hp서버소음 / hp서버컴퓨터 / HP서버파워 / HP서버펌웨어 / HP서버하드디스크 / hp옵션 / hp워크스테이션 / hp정품 / hp프로라이언트 / HYPER BACKUP / ibm서버 / ilo / Intelligent Provisioning / internetdisk / KVM / KVM 기술지원비(비용) / KVM 설치비 / L2스위치 / L3스위치 / LENONO서버SAS하드디스크 / lenovop620 / lenovor650 / LENOVO서버 / LENOVO서버CPU / LENOVO서버RAID컨트롤러 / LENOVO서버가격비교 / LENOVO서버가격비교견적 / LENOVO서버견적 / LENOVO서버구매 / LENOVO서버디스크교체 / LENOVO서버메모리 / LENOVO서버하드디스크구매 / LENOVO펌웨어업데이트 / Linux / ML30 / ml30gen10 / ml30gen11 / ML350GEN10 / ml350gen11 / ML360 / MS CSP / MSSQL / MSSQL 기술지원비(비용) / MSSQL 설치비 / MYSQL / MySQL 기술지원비(비용) / MySQL 설치비 / NAS / NVIDIA / Office 365 / oneview / orange / OS설치 / PA-410 / PA-440 / paloalto / poweredger740 / poweredger750 / precision5820 / QUADRO / r240 / r250 / r340 / r360 / r440 / r550 / r650 / r660 / r740 / r750xs / r760 / r760xs / RAID / redhat / RHEL설치 / RMS랙 / rocky / s100i / securedisk / server / serverpc / smart storage administrator / SPP / sql server / sr250 / sr650 / SYNOLOGY / SYNOLOGY나스 / t150 / t360 / UPS / UPS기술지원 / UPS납품 / UPS설치 / V3 / veeam / vroc / windows server / Windows서버설치 / XEON서버 / z8g4 / 가상서버 / 가성비서버 / 기술지원비(비용) / 나스기술지원 / 나스설치지원 / 네트워크스위치 / 네트워크장비 / 더블테이크 / 데이터베이스 / 델5820 / 델서버 / 델서버비용 / 델서버펌웨어업데이트 / 델옵션 / 델워크스테이션 / 델컴퓨터워크스테이션 / 디포그 / 디포그랙 / 디포그랙가격 / 딥러닝 / 딥러닝pc / 딥러닝서버 / 랙 / 랙(RACK) 기술지원비(비용) / 랙(RACK) 설치비 / 랙납품설치 / 랙설치 / 레노버p620 / 레노버서버 / 레노버워크스테이션 / 레노보서버 / 레노보서버펌웨어 / 레드헷설치 / 레이드 / 레이드구성 / 록키리눅스 / 리눅스 / 리눅스 기술지원비(비용) / 리눅스 설치비 / 리눅스서버 / 리눅스서버설치 / 리눅스서버트러블슈팅 / 리눅스트러블슈팅 / 문서보안 / 문서중앙화 / 미니서버 / 미니서버랙 / 미니서버렉 / 미디어서버 / 방화벽 / 방화벽 기술지원비(비용) / 방화벽 설치비 / 방화벽엔지니어 / 백업 / 백업 기술지원비(비용) / 백업 서버 / 백업서비스 / 백업솔루션 / 보안솔루션 / 보안솔루션구매 / 보안솔루션설치 / 보안툴 / 빔백업 / 샤크라맥스 / 서버 / 서버 기술지원비(비용) / 서 버 랙마운트비용 / 서버 설치비 / 서버 장애조치비용 / 서버CPU / 서버MEMORY / 서버OS설치 / 서버pc / 서버가격 / 서버가속기 / 서버견적 / 서버교체 / 서버구매 / 서버구입 / 서버구축 / 서버기술지원 / 서버납품 / 서버디스크장애처리 / 서버랙 / 서버렉 / 서버렉마운트 / 서버메모리 / 서버 몬 / 서버몬기술지원 / 서버백업 / 서버보안 / 서버부품 / 서버엔지니어 / 서버옵션 / 서버용GPU / 서버용PC / 서버용그래픽카드 / 서버용메모리 / 서버 / 컴퓨터 / 서버용하드디스크 / 서버재고 / 서버컴 / 서버컴퓨터 / 서버트러블슈팅 / 서버판매 / 서버하드 / 서버호스팅 / 스위치 / 스위치 기술지원비(비용) / 스위치 설치비 / 스토리지 / 스토리지 기술지원비(비용) / 스토리지 랙마운트비용 / 스토리지 설치비 / 스토리지 장애조치비용 / 스토리지납품설치 / 스토리지서버 / 시놀로지DS918 / 시놀로지HyperBackup / 시놀로지나스 / 시놀로지나스백업 / 시놀로지하이퍼백업 / 시큐어디스크 / 안랩 / 알약 / 앱서버 / 오피스 365 / 우분투설치 / 워크스테이션 / 워크스테이션pc / 워크스테이션컴퓨터 / 윈도우서버 / 윈도우서버2016 / 윈도우서버2019 / 윈도우서버2022 / 윈도우서버설치 / 윈도우서버컴퓨터 / 윈도우서버트러블슈팅 / 윈도우즈 기술지원비(비용) / 윈도우즈 설치비 / 이스트소프트 / 이스트 시큐리티 / 이중화솔루션 / 이중화솔루션구매 / 이중화솔루션설치 / 인터넷디스크 / 임베디드 / 저가서버 / 저렴한서버 / 정품서버 / 정품서버옵션 / 제온서버 / 젠서버 / 중고서버 / 중고워크스테이션 / 카보나이트 / 카스퍼스키 / 컴퓨터서버 / 케어팩 / 타워서버 / 타워형서버 / 팔로알토 / 페도라설치 / 프로라이언트