File System Auditor2.0 说明

鳥哥的 Linux 私房菜為取得較佳瀏覽結果，請愛用 firefox 瀏覽本網頁第八章、Linux 磁碟與檔案系統管理切換解析度為 800x600 最近更新日期：2009/04/011. 認識 EXT2 檔案系統1.1 硬碟組成與分割的複習1.2 檔案系統特性1.3 Linux 的 EXT2 檔案系統(inode): dumpe2fs1.4 與目錄樹的關係1.5 EXT2/EXT3 檔案的存取與日誌式檔案系統的功能1.6 Linux 檔案系統的運作1.7 掛載點的意義 (mount point) 1.8 其他 Linux 支援的檔案系統與 VFS2. 檔案系統的簡單操作2.1 磁碟與目錄的容量： df , du2.2 實體連結與符號連結： ln3. 磁碟的分割、格式化、檢驗與掛載3.1 磁碟分割： fdisk , partprobe3.2 磁碟格式化： mkfs , mke2fs3.3 磁碟檢驗： fsck , badblocks3.4 磁碟掛載與卸載： mount , umount 3.5 磁碟參數修訂： mknod , e2label , tune2fs , hdparm4. 設定開機掛載：4.1 開機掛載 /etc/fstab 及 /etc/mtab4.2 特殊裝置 loop 掛載(映象檔不燒錄就掛載使用)5. 記憶體置換空間(swap)之建置：5.1 使用實體分割槽建置swap5.2 使用檔案建置swap5.3 swap使用上的限制6. 檔案系統的特殊觀察與操作6.1 boot sector 與 superblock 的關係6.2 磁碟空間之浪費問題6.3 利用 GNU 的 parted 進行分割行為7. 重點回顧8. 本章習題9. 參考資料與延伸閱讀10. 針對本文的建議：/viewtopic.php?t=23881認識 EXT2 檔案系統Linux最傳統的磁碟檔案系統(filesystem)使用的是EXT2這個啦！所以要瞭解檔案系統就得要由認識EXT2開始！ 而檔案系統是建立在硬碟上面的，因此我們得瞭解硬碟的物理組成才行。

filesystem库用法文件系统库（filesystem library）是C++17新增的标准库之一，用于简化和统一文件和目录的操作。

使用filesystem库的一般步骤如下：1. 包含头文件：`#include <filesystem>`2. 命名空间：`using namespace std::filesystem;`3. 使用库中的功能，例如：- 创建目录：`create_directory(path);`- 删除目录或文件：`remove(path);`- 拷贝或移动目录或文件：`copy(path1, path2);` 或`rename(path1, path2);`- 获取文件大小：`file_size(path);`- 判断路径是否存在：`exists(path);`- 判断是否为目录：`is_directory(path);`- 遍历目录中的文件和子目录：使用迭代器或递归函数等。

以下是一个简单的示例代码，演示了filesystem库的基本用法：```cpp#include <iostream>#include <filesystem>using namespace std::filesystem;int main() {path filePath = "path/to/file.txt";if (exists(filePath)) {if (is_directory(filePath)) {std::cout << "Path is a directory." << std::endl;} else {std::cout << "Path is a file." << std::endl;std::cout << "Size: " << file_size(filePath) << " bytes." << std::endl;}} else {std::cout << "Path does not exist." << std::endl;}return 0;}```上述代码会判断给定的路径是否存在，并输出路径类型（文件还是目录）和文件大小（如果是文件的话）。

audit2allow android用法`audit2allow`是一个用于解析SELinux审计日志并生成策略模块的工具。

在Android系统中，SELinux（Security-Enhanced Linux）是一个安全增强的Linux内核安全模块，用于实现强制访问控制（MAC）机制。

`audit2allow`工具的主要用途是分析SELinux审计日志并生成策略模块，以允许特定的操作或访问。

它通常用于开发和调试阶段，帮助识别和修复SELinux策略中的问题。

以下是在Android系统中使用`audit2allow`的一般用法：1. 获取SELinux审计日志：使用以下命令捕获SELinux审计日志：```adb logcat -b all -d | grep "avc: denied"```2. 将SELinux审计日志保存到文件：将命令输出保存到文件，例如：```adb logcat -b all -d | grep "avc: denied" > audit.log```3. 使用`audit2allow`生成策略模块：运行以下命令将SELinux审计日志转换为策略模块：```aureport -a -i -l -f audit.log | audit2allow -m policy_module_name > policy_module_name.te```这将生成一个包含策略模块的`.te`文件。

4. 编译和加载策略模块：使用以下命令编译并加载策略模块：```checkmodule -M -m -o policy_module_name.mod policy_module_name.tesemodule_package -o policy_module_name.pp -m policy_module_name.modadb push policy_module_name.pp /dataadb shellsusemodule -i /data/policy_module_name.pp```这将编译策略模块，并将其加载到Android设备的SELinux中。

系统文件（system file）是计算机系统中用于存储操作系统和程序信息的文件。

它们对于计算机的正常运行和软件的功能性至关重要。

系统文件的使用涉及到系统维护、安全性、性能和数据管理等方面。

下面我们来详细了解系统文件的用法。

一、系统文件的作用1. 存储操作系统信息：系统文件包含了操作系统的核心代码和配置信息，如Windows系统中的NTFS文件、MAC系统中的HFS+文件等。

这些文件对于计算机的正常启动和运行是至关重要的。

2. 存储程序信息：除了存储操作系统信息，系统文件还用于存储各种软件和程序的代码和配置信息。

这些文件一般以特定的文件扩展名结尾，如.exe、.dll、.sys等。

软件的安装、卸载和更新都会涉及到对系统文件的操作。

3. 维护系统安全性：系统文件中还包含了系统的安全设置信息，如访问权限、加密密钥等。

系统文件的安全性对于防止恶意软件的入侵和数据泄露至关重要。

4. 优化系统性能：系统文件的存储位置和大小对计算机的性能有一定影响。

合理地管理系统文件可以提高系统的响应速度和整体性能。

5. 数据管理：系统文件还用于存储用户的数据，如配置文件、日志文件等。

这些文件对于用户的数据管理和备份非常重要。

二、系统文件的操作1. 创建和修改系统文件：创建和修改系统文件需要管理员权限，一般通过管理员账户登入系统进行操作。

对于普通用户来说，只能读取和执行系统文件，不能直接修改系统文件的内容。

2. 删除系统文件：删除系统文件需要谨慎操作，因为错误的删除可能导致系统无法启动或软件无法正常运行。

在删除系统文件之前，应该先备份重要数据，并确认文件对系统的影响。

3. 恢复系统文件：当系统文件损坏或丢失时，可以通过系统自带的恢复功能或第三方恢复工具来修复系统文件。

在使用恢复工具时，应该注意选择可靠的软件，并遵循操作指南。

4. 移动系统文件：系统文件的存储位置对系统的性能有一定影响，可以通过移动系统文件来优化系统的性能。

linux关于文件审计的配置在Linux中，文件审计是一项非常重要的安全措施，可以帮助管理员监控系统中的所有文件访问、修改和删除操作，从而及时发现并防止安全漏洞的发生。

为了配置文件审计，您可以按照以下步骤进行操作：1. 安装Auditd软件包：在大多数Linux发行版中，Auditd已经包含在默认软件源中，因此您可以通过运行以下命令来安装Auditd： sudo apt-get install auditd # Debian/Ubuntusudo yum install auditd # CentOS/Fedora/RHEL2. 启用Auditd服务：在安装成功后，您需要启用Auditd服务并设置为自动启动。

您可以使用以下命令来完成此操作：sudo systemctl enable auditd.servicesudo systemctl start auditd.service3. 配置审计规则：在启用Auditd服务后，您需要定义审计规则以确定要监视的文件或目录以及要记录的事件类型。

您可以使用以下命令来配置审计规则：sudo auditctl -w /path/to/file/or/directory -p permissions -k keyword-w：指定要监视的文件或目录路径-p：指定要记录的事件类型（r=read, w=write, x=execute,a=attribute, d=delete）-k：指定一个关键字，用于标识此规则（可选）例如，以下命令将监视所有对“/etc/passwd”文件的修改操作，并使用“passwd-change”关键字标识该规则：sudo auditctl -w /etc/passwd -p w -k passwd-change4. 查看审计日志：当有文件访问、修改或删除操作发生时，Auditd将记录相关事件，并将其保存在/var/log/audit/audit.log 文件中。

auditctl 默认规则摘要：1.审计系统简介2.auditctl 的作用3.默认规则的含义和作用4.默认规则的设置和调整5.默认规则的实际应用正文：1.审计系统简介审计系统是一种用于监控和记录系统活动的安全措施。

它可以帮助管理员检测到可能的安全问题，并提供追踪和溯源的线索。

在Linux 系统中，审计系统主要由audit 模块和auditctl 命令组成。

2.auditctl 的作用auditctl 是审计系统中的一个重要工具，用于控制审计事件的记录和处理。

它可以让管理员灵活地配置审计规则，以便只记录特定类型的事件，或者对特定类型的事件进行特定的处理。

3.默认规则的含义和作用默认规则是指在auditctl 中预设的规则，它们在系统启动时会自动生效。

这些规则通常包括对各种常见事件的审计，例如文件访问、文件修改、进程创建等。

默认规则的作用是确保系统的基本安全，以及为管理员提供审计事件的参考。

4.默认规则的设置和调整默认规则的设置和调整可以通过编辑auditctl 的配置文件来完成。

这个文件通常位于/etc/audit/auditd.conf。

管理员可以根据需要添加、修改或删除默认规则。

例如，如果想要添加一个新的默认规则，可以使用以下命令：```audit_add_rule -F /etc/audit/auditd.conf -a always -f/path/to/your/rule -p /path/to/your/program```如果想要修改一个已有的默认规则，可以使用以下命令：```audit_modify_rule -F /etc/audit/auditd.conf -a always -f/path/to/your/rule -p /path/to/your/program```如果想要删除一个默认规则，可以使用以下命令：```audit_delete_rule -F /etc/audit/auditd.conf -a always -f/path/to/your/rule```5.默认规则的实际应用默认规则的实际应用主要体现在对系统活动的监控和记录上。

FileSystem是Hadoop的抽象类，它提供了对文件系统的各种操作，包括创建、删除、重命名、列出文件和目录等。

FileSystem的实例可以通过调用FileSystem.get()方法获取，该方法会返回一个Hadoop文件系统的实例。

以下是一些FileSystem的常用方法：•create(Path f): 创建一个新的文件，如果文件已经存在则抛出异常。

•delete(Path f, boolean recursive): 删除一个文件或目录。

如果recursive为true，则可以删除非空的目录。

•rename(Path src, Path dst): 重命名一个文件或目录。

•listFiles(Path f, boolean recursive): 列出文件和目录。

如果recursive为true，则递归列出所有子目录。

•setWorkingDirectory(Path new_dir): 设置当前的工作目录。

•getWorkingDirectory(): 获取当前的工作目录。

•getStatus(): 获取文件系统的状态信息。

•getBlockSize(Path f): 获取指定文件的块大小。

•getFileStatus(Path f): 获取指定文件的状态信息。

使用FileSystem时，需要注意以下几点：1.需要先创建一个FileSystem的实例，才能进行后续的操作。

2.操作完成后，需要关闭FileSystem的实例，释放资源。

3.在处理大文件时，可以使用缓冲流来提高读写效率。

4.对于一些特殊文件系统（如S3、HDFS等），需要使用特定的实现类来创建FileSystem实例。

一. 视图说明:1. SYS.AUD$审计功能的底层视图,如果需要对数据进行删除,只需要对aud$视图进行删除既可,其他视图里的数据都是由aud$所得.2. DBA_AUDIT_EXISTS列出audit not exists和audit exists产生的审计跟踪,我们默认的都是audit exists.3. DBA_AUDIT_TRAIL可以在里面查处所有审计所跟踪的信息.4. DBA_AUDIT_OBJECT可以查询所有对象跟踪信息.(例如,对grant,revoke等不记录),他的信息完全包含于dba_audit_trail5. DBA_AUDIT_SESSION所得到的数据都是有关logon或者logoff的信息.6. DBA_AUDIT_STATEMENT列出grant ,revoke ,audit ,noaudit ,alter system语句的审计跟踪信息.7. DBA_PRIV_AUDIT_OPTS通过系统和由用户审计的当前系统特权8. DBA_OBJ_AUDIT_OPTS可以查询到所有用户所有对象的设计选项9. ALL_DEF_AUDIT_OPTS(还没明白出其确切意义)10. AUDIT_ACTIONS可以查询出在aud$等视图中actions列的含义11. SYSTEM_PRIVILEGE_MAP可以查询出aud$等视图中priv$used列的含义(注意前面加’-‘)12.二. 对audit的设置1.需要对audit_trail参数进行设置.该参数有三个值可以设置,默认为false,为不进行审计.当设置为OS时,对数据库进行设计的信息记录到操作系统中,当为DB时记录入sys.aud$中.2.需要对sys用户进行审计,需要设置AUDIT_SYS_OPERATIONS = TRUE,该参数默认值为false,为不进行审计.当对其设计时,所有的信息将记录入操作系统中而不记录入SYS.AUD$注:当记录入操作系统中时,其参数控制为AUDIT_FILE_DEST三. 审计1. by session与by access当设置为by session时,对每个session下每条审计记录只出现一次,by access对每次操作都进行记录,by access将会带来大量的记录.2. by user如果在命令后面添加by user则只对user的操作进行审计,如果省去by 用户,则对系统中所有的用户进行审计(不包含sys用户).四. 测试情况Session1设置设计选项(sys),简写为S1, session2查询结果(user),简称S2,其他为测试连接session(user),为sessionn(n >2)1. 对表的审计对create table进行审计(需要对成功与失败两种情况进行测试)S1:SQL> audit create table by user;S3:SQL>create table test (id number);SQL>create table test (id number);(要报错)S2:SQL>select username,returncode,action_name from dba_audit_trail;user 955 CREATE TABLEuser 0 CREATE TABLES1:SQL>truncate table aud$对修改表(alter table)进行审计S1:SQL> audit alter table by user;S3:SQL> alter table test add( col number);SQL> alter table test add( col number); (要报错)S2:SQL>select username,returncode,action_name from dba_audit_trail;user 0 ALTER TABLEuser 1430 ALTER TABLES1:SQL>truncate table aud$对删除表(drop table)进行审计由于没有对drop table进行单独审计的操作,需要添加audit table by user(此命令将对create table ,drop table, truncate table 进行审计) S1:SQL> audit table by user;S3:SQL> drop table test;SQL> drop table test;(将报错)SQL>create table test(id number);SQL> truncate table test;S2:SQL>select username,returncode,action_name from dba_audit_trail;1 user 0 DROP TABLE2 user 942 DROP TABLE3 user 0 CREATE TABLE4 user 0 TRUNCATE TABLES1:SQL>truncate table aud$2. 对视图的审计对创建视图(create view)进行审计S1:SQL> audit create view by user;S3:SQL> create view test0 as select * from test;SQL> create view test0 as select * from test;(要报错)S2:SQL>select username,returncode,action_name from dba_audit_trail;1 user 955 CREATE VIEW2 user 0 CREATE VIEWS1:SQL>truncate table aud$对修改视图(alter view)进行审计没有对视图进行修改的操作,所以审计修改视图也就不存在.对删除视图(drop view)进行审计由于没有对drop view进行单独审计的操作,需要添加audit view by user(此命令将对create view ,drop view进行审计)S1:SQL> audit view by user;S3:SQL> drop view test0;SQL> drop view test0; (将报错)SQL> create view test0 as select * from test;;S2:SQL>select username,returncode,action_name from dba_audit_trail;1 user 0 DROP VIEW2 user 942 DROP VIEW3 user 0 CREATE VIEWS1:SQL>truncate table aud$3. 对程序包的审计目前没有对程序包的重新编译进行审计.对包,函数以及存储过程的审计都可以通过auditprocedure by user进行审计.S1:SQL> audit procedure by user;S3:SQL> create procedure test12 as3 begin4 null;5 end;6 /SQL> drop procedure test1;SQL> drop procedure test1;S2:SQL>select username,returncode,action_name from dba_audit_trail;1 user 0 CREATE PROCEDURE2 user 0 DROP PROCEDURE3 user 4043 DROP PROCEDURESQL>truncate table aud$4. 对用户的审计对用户的审计可以有audit user来实现,该命令可以审计create user,alter user,drop user.S1:SQL> audit user by user;S3:SQL> create user zyc identified by zyc;SQL> alter user zyc identified by 000; (要报错)SQL> alter user zyc identified by zyc; (要报错)SQL> alter user zyc identified by aaa;SQL> drop user zyc;SQL> drop user zyc; (要报错)S2:SQL>select username,returncode,action_name from dba_audit_trail;1 user 0 CREATE USER2 user 988 ALTER USER3 user 28007 ALTER USER4 user 0 ALTER USER5 user 0 DROP USER6 user 1918 DROP USERS1:SQL>truncate table aud$综上所述:1. 对表的审计:可以单独对表的create,alter进行审计,如果要对drop操作进行审计需要对表加audit table(该命令包含有create table,drop table,truncate table).2. 对视图的审计:可以单独对视图的create进行审计,如果要对drop操作进行审计需要对视图加audit view(该命令包含有create view,drop view).3. 对程序包的审计:可以对包(函数,存储过程等)的create进行审计,如果需要对drop操作进行审计需要加audit procedure(该命令对CREATE FUNCTION, CREATE LIBRARY , CREATE PACKAGE, CREATE PACKAGE BODY, CREATE PROCEDURE, DROP FUNCTION, DROP LIBRARY, DROP PACKAGE, DROP PROCEDURE进行审计)4. 对用户的审计:可以通过audit user(该命令包含 create user,alter user,drop user)进行审计.。

auditctl规则写入文件1. 什么是auditctl规则？auditctl是Linux系统中用于配置和管理审计规则的命令。

通过auditctl命令，可以定义一系列规则来监控系统中发生的事件，例如文件访问、用户登录、系统调用等。

这些规则将被写入一个特殊的文件，称为审计规则文件。

审计规则文件中的规则定义了需要监控的事件类型、监控的对象、触发条件和日志记录方式等。

当系统中发生了符合规则定义的事件时，操作系统将自动记录相关日志，以便后续审计和分析。

2. 为什么需要auditctl规则？在现代计算机系统中，安全性是一个非常重要的关注点。

了解系统中发生的事件并记录相关信息对于追踪潜在的安全问题、检测恶意行为和满足合规性要求非常重要。

auditctl规则提供了一种有效的方式来监控系统中发生的事件，并记录相关信息。

通过定义适当的规则，可以实现对系统的全面监控，并及时发现异常行为或潜在的安全威胁。

3. auditctl规则的语法和参数auditctl规则的语法如下所示：auditctl -a <action>,<filter> -S <syscall> -F <field>=<value> -k <key>•<action>：指定要执行的动作，包括always（始终记录）、never（永不记录）和exit（只记录退出事件）。

•<filter>：指定过滤器，用于限制规则适用的范围，包括task（进程级别）、exit（退出事件）和user（用户级别）。

•<syscall>：指定要监控的系统调用。

•<field>：指定要匹配的字段，例如arch（架构）、success（成功与否）和uid（用户ID）等。

•<value>：指定要匹配的字段值。

•<key>：指定一个自定义的关键字，用于标识此规则。