Microaula em Método CELULA • Prévia Aberta

Em cibersegurança, o que não é auditado não pode ser defendido. O kernel do Linux possui o subsistema auditd, capaz de gravar cada chamada de sistema, abertura de arquivo ou execução de comando por qualquer usuário. Somado à verificação de integridade de arquivos (FIM), nenhum invasor passa despercebido.

1. Auditoria no Kernel com auditd e Integridade com AIDE

Implementação de observabilidade de segurança no host:

• Framework do auditd: O daemon de auditoria do kernel do Linux que intercepta chamadas de sistema (syscalls) e grava logs detalhados em /var/log/audit/audit.log;
• Regras de Auditoria (/etc/audit/rules.d/): Regras para monitorar alterações em /etc/passwd, chamadas à função execve e tentativas de uso de credenciais;
• Busca com ausearch e aureport: Consultas ágeis por chamadas de sistema, usuários e horários específicos;
• File Integrity Monitoring (FIM) com AIDE: Criação de banco de dados de hashes dos binários e arquivos de configuração para detectar backdoors e alterações clandestinas;
• Agente Wazuh: Coleta unificada de métricas de integridade, logs de auditoria e vulnerabilidades locais enviadas ao servidor SIEM...