linuxkit/auditd

LinuxKit auditd 镜像文档

镜像概述和主要用途

本Docker镜像基于LinuxKit项目的auditd软件包构建（源码地址：https://github.com/linuxkit/linuxkit/tree/master/pkg/auditd%EF%BC%89%E3%80%82%60auditd%60%E6%98%AFLinux%E7%B3%BB%E7%BB%9F%E4%B8%AD%E7%9A%84%E5%AE%A1%E8%AE%A1%E5%AE%88%E6%8A%A4%E8%BF%9B%E7%A8%8B%EF%BC%8C%E4%B8%BB%E8%A6%81%E7%94%A8%E4%BA%8E%E7%9B%91%E6%8E%A7%E5%92%8C%E8%AE%B0%E5%BD%95%E7%B3%BB%E7%BB%9F%E7%BA%A7%E5%AE%89%E5%85%A8%E4%BA%8B%E4%BB%B6%EF%BC%8C%E5%8C%85%E6%8B%AC%E7%B3%BB%E7%BB%9F%E8%B0%83%E7%94%A8%E3%80%81%E6%96%87%E4%BB%B6%E8%AE%BF%E9%97%AE%E3%80%81%E7%94%A8%E6%88%B7%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E3%80%81%E8%BF%9B%E7%A8%8B%E6%89%A7%E8%A1%8C%E7%AD%89%E6%93%8D%E4%BD%9C%EF%BC%8C%E7%94%9F%E6%88%90%E5%AE%A1%E8%AE%A1%E6%97%A5%E5%BF%97%E4%BB%A5%E6%94%AF%E6%8C%81%E5%AE%89%E5%85%A8%E5%AE%A1%E8%AE%A1%E3%80%81%E5%90%88%E8%A7%84%E6%80%A7%E6%A3%80%E6%9F%A5%E5%92%8C%E6%95%85%E9%9A%9C%E6%8E%92%E6%9F%A5%E3%80%82

核心功能和特性

• 系统审计日志收集：监控并记录系统关键操作事件，如文件创建/删除、权限变更、用户登录/注销等
• 灵活的审计规则支持：可通过审计规则文件（audit.rules）自定义监控范围和事件类型
• 日志完整性保障：采用可靠的日志写入机制，确保审计日志不丢失
• 轻量级设计：基于LinuxKit最小化容器构建，资源占用低，适合嵌入式和容器化环境

使用场景和适用范围

• 服务器安全监控：跟踪系统异常操作，检测潜在安全威胁
• 合规性审计：满足PCI DSS、HIPAA等合规要求，提供系统操作审计 trail
• 系统故障排查：通过审计日志分析进程异常行为、权限问题等系统故障
• 容器化Linux环境：在Docker或Kubernetes等容器平台中为容器提供审计能力

使用方法和配置说明

基本使用要求

• 宿主系统需支持Linux审计框架（内核需启用CONFIG_AUDIT配置）
• 需挂载审计规则文件和日志存储目录到容器内部

Docker Run 示例

bash
docker run -d \
  --name=linuxkit-auditd \
  --privileged \
  -v /etc/audit/audit.rules:/etc/audit/audit.rules:ro \
  -v /var/log/audit:/var/log/audit \
  linuxkit/auditd

配置说明

1. 挂载审计规则文件
   需将自定义审计规则文件（通常为audit.rules）挂载到容器内/etc/audit/audit.rules路径，规则文件定义监控对象和事件类型，示例规则：

   # 监控passwd文件访问
   -w /etc/passwd -p rwxa -k passwd_changes
   # 监控sudo命令执行
   -a always,exit -F path=/usr/bin/sudo -F perm=x -F auid>=1000 -F auid!=-1 -k sudo_exec
   

2. 挂载日志存储目录
   将宿主的/var/log/audit目录挂载到容器内同名路径，用于持久化存储审计日志文件（如audit.log）

3. 权限要求
   容器需以特权模式（--privileged）运行，以获取足够权限访问系统审计接口

注意事项

• 审计规则配置需根据实际需求调整，避免过度监控导致日志量过大
• 需定期清理审计日志文件，防止磁盘空间耗尽
• 宿主系统内核需支持auditd功能，否则容器可能无法正常工作