Vigila tus archivos clave en Ubuntu con auditd

auditd es el sistema de auditoría de Linux. Le dices qué archivos importantes quieres vigilar y anota cada cambio con fecha, usuario y programa. Es una forma sencilla de bastionar tu Ubuntu y saber si alguien ha tocado lo que no debe.

Qué necesitas

• Un equipo con Ubuntu (la última versión LTS)
• Un usuario con permisos sudo
• Conexión a Internet
• La terminal (Ctrl + Alt + T)

Paso a paso

1. 01

   Instala auditd

   Abre la terminal e instala el paquete. El servicio arranca solo al terminar.

2. 02

   Comprueba que está activo

   Debe aparecer como active (running). Pulsa q para salir.

3. 03

   Vigila los archivos sensibles

   Añade una regla para el archivo de usuarios y otra para sudoers. La letra w vigila escrituras y la a cambios de permisos.

4. 04

   Haz una prueba

   Crea un usuario de prueba y busca el rastro con la etiqueta usuarios. Verás quién hizo el cambio y con qué programa.

5. 05

   Hazlo permanente

   Copia las dos reglas (sin auditctl delante) en el archivo /etc/audit/rules.d/vigilancia.rules y cárgalas con sudo augenrules --load.

6. 06

   Limpia y revisa

   Borra el usuario de prueba con sudo deluser prueba. De vez en cuando, mira el resumen de archivos vigilados con sudo aureport -f.

Consejos