Ketika sebuah server Linux menunjukkan perubahan konfigurasi yang tidak dikenal, akun baru muncul, atau berkas penting berubah tanpa penjelasan, log biasa belum tentu memberikan jawaban lengkap. auditd membantu merekam aktivitas yang dipilih melalui Linux Audit Framework, sehingga administrator dapat menelusuri peristiwa berdasarkan waktu, pengguna, proses, dan objek yang diawasi.
Audit bukan pengganti seluruh sistem logging dan bukan tombol ajaib yang merekam setiap tindakan secara otomatis. Hasilnya bergantung pada aturan yang dipasang, konfigurasi kernel, hak akses, serta kebijakan retensi. Panduan ini membahas cara memeriksa auditd, memasang aturan sederhana, membaca hasilnya, dan menghindari konfigurasi yang justru membebani server.
Apa itu auditd dan kapan dibutuhkan?
auditd adalah daemon yang menerima catatan dari subsistem audit Linux dan menuliskannya ke log, umumnya di /var/log/audit/audit.log. Aturan audit dapat meminta sistem mencatat akses atau perubahan pada berkas tertentu, aktivitas autentikasi, perubahan identitas, maupun panggilan sistem yang relevan.
Auditd berguna saat menyelidiki perubahan file konfigurasi, meninjau aktivitas akun, memenuhi kebutuhan audit internal, atau mencari jejak setelah insiden. Sebaliknya, untuk melihat pesan error layanan dan urutan kejadian umum, journalctl sering menjadi titik awal yang lebih praktis. Panduan membaca log Linux dengan journalctl dapat melengkapi pemeriksaan tersebut.
1. Periksa apakah auditd tersedia
Di distribusi yang menggunakan systemd, periksa status layanan terlebih dahulu:
sudo systemctl status auditd
sudo auditctl -s
sudo auditctl -lPerintah pertama menunjukkan keadaan daemon, perintah kedua menampilkan status subsistem audit seperti jumlah peristiwa yang hilang, sedangkan perintah ketiga mencantumkan aturan aktif. Nama paket dan cara mengelola layanan dapat berbeda antara Debian, Ubuntu, Fedora, RHEL, dan turunannya. Jika perintah tidak tersedia, periksa dokumentasi distribusi sebelum memasang paket.
Perhatikan nilai lost pada keluaran status audit. Angka yang meningkat dapat menandakan sistem tidak mampu memproses atau menyimpan semua peristiwa. Jangan langsung menambah aturan baru sebelum memahami kapasitas disk, laju aktivitas, dan konfigurasi logging yang sudah berjalan.
2. Buat aturan untuk mengawasi berkas penting
Contoh sederhana adalah mengawasi perubahan pada /etc/passwd, berkas yang menyimpan informasi akun lokal. Pada sistem yang mendukung aturan watch klasik, jalankan:
sudo auditctl -w /etc/passwd -p wa -k identity_changesOpsi -w menentukan berkas, -p wa meminta pencatatan ketika ada penulisan atau perubahan atribut, dan -k memberi label agar hasil mudah dicari. Sintaks yang tersedia bisa berbeda menurut versi; dokumentasi auditctl pada sistem tersebut adalah rujukan utama.
Aturan yang ditambahkan lewat auditctl biasanya bersifat sementara dan dapat hilang setelah reboot. Untuk membuat aturan persisten, banyak distribusi menggunakan berkas di /etc/audit/rules.d/, lalu memuatnya melalui mekanisme yang disediakan paket audit. Jangan menyalin contoh ke server produksi tanpa memeriksa format aturan yang didukung dan prosedur perubahan setempat.
3. Cari peristiwa dengan ausearch
Setelah aturan aktif, lakukan perubahan yang memang diperlukan untuk pengujian, kemudian cari catatan berdasarkan kunci:
sudo ausearch -k identity_changes -i
sudo ausearch -f /etc/passwd --start today -iOpsi -i membuat sejumlah nilai lebih mudah dibaca manusia. Hasil audit dapat berisi beberapa baris untuk satu kejadian karena satu peristiwa terdiri dari record terkait, misalnya informasi syscall, jalur berkas, dan identitas proses. Cocokkan timestamp serta ID peristiwa sebelum menyimpulkan apa yang terjadi.
Untuk ringkasan yang lebih mudah dibaca, gunakan laporan:
sudo aureport --auth
sudo aureport -f -iLaporan autentikasi membantu meninjau aktivitas login yang tercatat, sementara laporan file merangkum akses file. Ketersediaan dan detail laporan bergantung pada record yang benar-benar dikumpulkan; ringkasan kosong bukan bukti bahwa tidak pernah terjadi aktivitas.
4. Hindari aturan terlalu luas
Administrator bisa mengaudit panggilan sistem tertentu, termasuk eksekusi program. Namun, aturan yang terlalu luas dapat menghasilkan volume log sangat besar, menambah beban penyimpanan, dan membuat pencarian insiden lebih sulit. Mulailah dari aset yang penting: berkas konfigurasi sensitif, perubahan identitas, atau jalur administrasi yang memang perlu diawasi.
Jangan mengaktifkan pencatatan menyeluruh atas semua eksekusi hanya karena ingin melihat “semua aktivitas”. Selain boros, record dapat mengandung nama pengguna, jalur, argumen proses, atau informasi operasional sensitif. Uji aturan di lingkungan nonproduksi, ukur volume log, lalu perluas cakupan secara bertahap.
5. Simpan aturan, atur retensi, dan lindungi log
Setelah aturan diuji, simpan konfigurasi sesuai tata kelola distribusi dan pastikan aturan termuat kembali setelah reboot. Periksa juga konfigurasi rotasi log, batas penggunaan disk, serta kebijakan retensi. Audit log yang memenuhi disk dapat mengganggu layanan lain atau menyebabkan catatan penting tidak tersimpan.
Batasi akses ke berkas log karena isinya bisa mengungkap aktivitas akun dan struktur sistem. Untuk server penting, pertimbangkan pengiriman salinan log ke host terpisah yang aksesnya dibatasi. Jika penyerang memperoleh hak administrator penuh pada mesin, log lokal saja tidak selalu dapat dianggap sebagai bukti yang kebal manipulasi.
Checklist sebelum mengandalkan auditd
- Pastikan layanan berjalan dan aturan aktif sesuai tujuan.
- Lakukan pengujian terkontrol dan verifikasi hasil dengan
ausearch. - Periksa jumlah peristiwa hilang serta kapasitas penyimpanan.
- Dokumentasikan alasan setiap aturan dan siapa yang menyetujuinya.
- Uji pemuatan ulang aturan setelah reboot di lingkungan yang aman.
- Batasi akses log dan siapkan retensi serta salinan terpisah bila diperlukan.
Kesimpulan
auditd memberi visibilitas lebih terarah terhadap aktivitas sistem Linux, terutama ketika investigasi memerlukan jejak perubahan berkas atau peristiwa keamanan tertentu. Mulailah dengan aturan yang sempit, verifikasi record yang dihasilkan, dan pantau dampaknya terhadap performa serta ruang disk. Audit yang berguna bukan yang mencatat segalanya tanpa batas, melainkan yang menghasilkan bukti relevan, terlindungi, dan dapat ditafsirkan saat benar-benar dibutuhkan.