90%服务器风险藏于日志盲区，安全审计如何破局？

　　去年中考期间，我蹲在IDC三号机房听空调外机哼《卡农》变调——就那个左数第二台，扇叶歪了十五度，每次转到三十七秒必卡顿半拍。监控屏右下角跳着“cdn-edge-07：/var/log/nginx/access.log last modified: 2024-06-18 09:22:13”，我盯着看了四分半，手边冷掉的麻辣烫浮着三粒芝麻，一粒粘在筷子头，另两粒在汤面打旋。

　　那天早上六点十七分，备案系统接口报503，不是502。老张在运维群甩了个截图，没文字，就一张带红色error标签的Kibana面板，底下配了个“????”表情包。我切过去一看，access日志里全是对/robots.txt的GET，User-Agent写的是“BaiduSpider/2.0”，但IP段全在俄罗斯——这蜘蛛压根没备案，也没过CDN，直穿WAF走了backdoor规则集的缝隙。我原以为是爬虫池被劫持，结果翻了三天日志才发现，根本没人查过/var/log/audit/audit.log——它自六月十七日起就再没滚动过，systemd-journald把audispd进程kill了两次，没告警，连钉钉都没震一下。

文章配图，仅供参考

　　王工上周还在群里说：“日志太多，查不动。”我说你删条/var/log/btmp试试？他真删了，顺手还清了lastb缓存——结果当天下午教务系统单点登录跳302重定向链错乱，查到最后发现是pam_faillock记录丢了七小时，导致教师账号被暴力试了三百七十二次才锁，锁完五分钟又解了——因为faillock配置里写了“unlock_time = 300”，可时间戳是从journald里读的，而journald时间早了十九秒。这个我说不准，但我知道王工删btmp前，工位抽屉里有半盒没拆的薄荷糖，糖纸折痕是斜的，像某次应急演练时我撕开过的那盒。

　　安全审计破局？破个屁局。现在连审计策略本身都在盲区里躺着——比如auditctl -l列出来的规则，有三条写着“-a always,exit -F arch=b64 -S execve”，可实际执行的是libaudit.so的2.8.5版本，不支持-S execve的syscall参数嵌套，全当普通字符串吃掉了。我们组去年上线的灰度审计模块，发版日志里写了“增强exec行为捕获”，结果真实日志里只有fork和clone，execve永远是空行。空行！你知道空行多可怕吗？它比报错还安静，比超时还诚实，它就那么躺着，像凌晨三点机柜灯带灭了一整排——没人觉得该修。

　　还有人提“日志归集平台”。哈。我们上个月接入新ES集群，数据节点跑了十八秒后OOM，运维同事蹲着看dmesg，突然说：“诶，这台物理机的主板电池电压是2.4V，是不是快没电了？”——我抬头看他工牌挂绳断了一截，蓝色尼龙丝垂下来，在机箱散热口来回扫。这事和日志盲区有关吗？一点关系没有。但它真实发生在我眼皮底下，就在cdn-edge-07旁边第三台机柜，风扇吹得他头发往右偏，偏得特别匀。

　　再说个冷的：你见过用curl -X POST往syslog-ng本地socket里灌日志，只为绕过rsyslog对@localhost的速率限制，最后却因为socket缓冲区溢出，让audit消息全堆在kernel ring buffer里，直到dmesg -T刷出来的时候，时间戳已经是三小时后了吗？李姐干的，她当时左手攥着半截热奶茶，吸管弯了，怎么都插不进杯盖小孔。那事没上故障库，只在周会口头提了一句，她说“算了，反正也没漏权限变更”，然后把吸管掰直，插进去，喝了口——奶盖挂杯壁上，白一块，黄一块。

　　所以现在问我怎么破局？我昨天刚把auditd.service加进crontab，每五分钟跑一次systemctl is-failed auditd && systemctl restart auditd；同时把journald时间同步从ntp改为chrony，并强制启用了`FallbackNTP=2.cn.pool.ntp.org`。但说实话，我不信这套。我只信一件事：下次中考之前，先把idc三号机房那台卡顿的空调外机扇叶拧正——不是为了降温，是怕它哼到某个节拍，刚好掩盖住auditd挂掉时，systemd那声极轻的failed notification。那声音我听过三次，前两次都以为是老鼠啃电缆。

　　对了，刚才钉钉弹了下，运营部@我问“首页banner换图要不要走发布流程”，我没回。手边麻辣烫彻底凉透，芝麻沉底了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!