Auditar accesos denegados a archivos con Auditd en Ubuntu 24.04

Qué vamos a auditar en /etc

Estas reglas registran intentos de apertura de archivos en /etc y sus subdirectorios cuando el kernel devuelve EACCES o EPERM. Así puedes comprobar qué proceso intentó abrir un archivo y por qué se rechazó la operación.

El ejemplo está pensado para Ubuntu 24.04 en x86-64 (amd64). Las reglas b64 cubren las llamadas de 64 bits. Añade las dos reglas b32 solo si el sistema admite la interfaz de 32 bits y también necesitas auditarla. En ambos casos, indica arch antes de los nombres de las llamadas al sistema para que auditctl consulte la tabla correcta.

Para que las reglas se conserven tras reiniciar, guárdalas en un archivo con extensión .rules dentro de /etc/audit/rules.d/.

sudoedit /etc/audit/rules.d/30-denied-access.rules

-a always,exit -F arch=b64 -S open -S openat -S openat2 -F dir=/etc -F exit=-EACCES -k denied_etc
-a always,exit -F arch=b64 -S open -S openat -S openat2 -F dir=/etc -F exit=-EPERM -k denied_etc
-a always,exit -F arch=b32 -S open -S openat -S openat2 -F dir=/etc -F exit=-EACCES -k denied_etc
-a always,exit -F arch=b32 -S open -S openat -S openat2 -F dir=/etc -F exit=-EPERM -k denied_etc

Cargar las reglas y comprobar un intento denegado

Carga las reglas persistentes con augenrules y comprueba que las que has añadido aparecen en la lista de reglas activas del kernel.

sudo augenrules --load
sudo auditctl -l

En un equipo de pruebas, intenta leer /etc/shadow con la cuenta sin privilegios nobody. El comando debería fallar con un error de permiso denegado.

sudo -u nobody cat /etc/shadow

Busca el intento justo después de ejecutarlo. Filtra tanto por la clave de la regla como por la ruta del archivo para reducir las coincidencias ajenas a la prueba.

sudo ausearch --start recent --key denied_etc --file /etc/shadow --interpret

Comprueba que la hora coincide con la prueba, que el proceso es cat y que el resultado es EACCES. Eso confirma que se registró ese intento concreto, pero no valida las reglas para EPERM ni las de 32 bits si se ha usado un ejecutable de 64 bits.

Si no aparece el evento, confirma que la regla correspondiente está activa y revisa si hay una regla never,task que esté excluyendo procesos de la auditoría. El capítulo sobre ausearch explica cómo interpretar el resto de los campos.

Alcance y rendimiento

Estas reglas no registran todos los accesos fallidos del sistema. Solo cubren las llamadas, los errores y el árbol de directorios indicados. En producción, limita la vigilancia a las rutas y operaciones que te interese auditar y comprueba su impacto con la carga habitual del equipo.

Si aún no tienes el servicio configurado, empieza por la guía de Auditd en Ubuntu.

Referencias oficiales

• Ubuntu 24.04 — audit.rules(7)
• Ubuntu 24.04 — auditctl(8)
• Ubuntu 24.04 — augenrules(8)
• Ubuntu 24.04 — ausearch(8)