服务器记录所有用户docker操作，监控删除容器/镜像的人
文章目录
- 优先查询系统日志
- 使用场景
- 安装auditd
- 添加docker审计规则
- 设置监控日志大小与定期清除
- 查询 Docker 操作日志
-
- 查看所有用户，所有操作日志
- 查看特定用户的 Docker 操作
- 查看所有用户删除容器/镜像日志
- 过滤特定时间范围内日志
优先查询系统日志
# 推荐
sudo grep docker /var/log/auth.log
# 其它可用命令
sudo cat /root/.bash_history | grep docker
sudo grep delete /var/log/docker.log
sudo grep docker /var/log/secure
使用场景
多人使用的服务器，使用的docker 容器或镜像被其他人删除，需要找到删除的人
查找方法：安装使用auditd工具，并配置规则记录所有用户的docker操作
auditd 是 Linux 审计守护进程（Audit Daemon），用于记录系统活动和安全事件。它是 Linux 内核审计子系统的一部分，帮助系统管理员跟踪关键系统事件、访问控制、用户活动等，从而增强系统安全性和合规性。
主要功能
- 事件记录：记录系统调用（如文件访问、网络操作）以及用户、进程和权限相关的活动。
- 安全审计规则：系统管理员可以定义规则，指定要审计的事件，比如监控特定文件或目录的访问。
- 详细的审计日志：审计事件被存储在 /var/log/audit/audit.log 文件中，提供详细的信息，如时间戳、用户、进程ID、操作类型、结果（成功/失败）等。
- 实时监控：可以使用工具（如 ausearch 或 auditctl）实时监控和查询审计日志。
- 用户管理审计：监控用户登录、登出、权限更改等敏感操作。
- 文件完整性监控：结合 auditd 和 audit rules，可以监控重要文件的访问、修改或删除操作。
相关工具
- auditctl：管理和配置审计规则。
- ausearch：搜索审计日志中的特定事件。
- aureport：生成审计报告的工具。
- aulast：显示用户登录和登出信息。
- autrace：用于跟踪特定命令的审计事件。
常见用途
- 合规性审计
- 确保系统符合安全标准，如 PCI DSS、HIPAA 等。
- 入侵检测
- 监控可疑活动，如未经授权的访问或权限提升。
- 系统故障排除
- 调查安全事故或操作系
