Auditd verliert Sicherheitsereignisse aufgrund eines vollen Backlog-Puffers

Question

Auditd verliert Sicherheitsereignisse aufgrund eines vollen Backlog-Puffers

Glets Alpen 0

Hat jemand dieses Verhalten auf Linux-Systemen beobachtet, bei dem:

Auditd Sicherheitsereignisse erfasst.

Das Auditing ordnungsgemäß aktiviert ist.

Ereignisse zunächst erfolgreich in den Kernel-Backlog geschrieben werden.

Die Anzahl der Audit-Events jedoch schneller ansteigt, als sie auf die Festplatte geschrieben werden können.

Dadurch der Audit-Backlog-Puffer voll läuft.

Infolgedessen Sicherheitsereignisse verworfen oder verloren gehen.

Die Audit-Protokolle deuten darauf hin, dass die Erfassung grundsätzlich funktioniert,

die Ereignisgenerierung erfolgreich ist,

Auditd aktiv bleibt,

aber der Backlog regelmäßig ausgelastet wird und Events verworfen werden.

Wie lässt sich in diesem Fall der Parameter backlog_limit sinnvoll anpassen, um den Verlust von Audit-Events zu vermeiden? Gibt es bewährte Empfehlungen oder Best Practices für die Dimensionierung des Audit-Backlogs in Umgebungen mit hoher Ereignisrate ?

0 Kommentare

1 Antwort

Ihre Antwort

Answer 1

Hallo Glets Alpen

Bei einem solchen Verhalten würde ich zuerst bestätigen, wie häufig der Audit-Backlog tatsächlich voll läuft, bevor ich backlog_limit einfach stark erhöhe. Der Parameter bestimmt im Wesentlichen, wie viele Audit-Ereignisse der Kernel zwischenspeichern kann, bevor sie von auditd verarbeitet werden.

Bei hoher Ereignisrate kann eine größere Queue zwar kurzfristige Lastspitzen abfangen, sie behebt aber nicht das eigentliche Problem, wenn auditd dauerhaft langsamer schreibt als neue Events entstehen. Ich würde daher zunächst die verworfenen Events und die aktuelle Backlog-Auslastung prüfen und gleichzeitig CPU-, I/O- und Storage-Latenzen des Systems beobachten. Anschließend kann man backlog_limit schrittweise erhöhen und anhand der tatsächlichen Event-Rate testen, ob dadurch die Spitzen abgefangen werden.

Wichtig ist, genügend RAM einzuplanen und den Wert nicht unnötig groß zu wählen, da ein sehr hoher Backlog lediglich mehr Ereignisse zwischenspeichert und keinen dauerhaft überlasteten Storage schneller macht. In Umgebungen mit sehr hoher Audit-Last lohnt es sich außerdem, die Audit-Regeln auf wirklich benötigte Events zu begrenzen und unnötige, extrem häufige Regeln zu vermeiden. Wenn der Backlog trotz einer angemessenen Erhöhung regelmäßig voll läuft, würde ich eher die Ursache der hohen Event-Rate oder die Schreibperformance untersuchen als den Queue-Wert immer weiter zu erhöhen. Wenn diese Schritte bei Ihnen geholfen haben, können Sie die Antwort gerne mit „Accept Answer“ markieren.