审计、合规与备份：检测、响应、恢复

0. 元信息

• 主题路径：docs/topics/linux-hardening/subtopics/audit-compliance-and-backup/
• 父主题：linux-hardening
• 主分类：安全与可靠性
• 辅助分类：工程技术
• 适合对象：完成前三张子主题的运维 / 后端 / 安全工程师；目标是把前 8 阶段的加固”变成可证明、可扫描、可恢复”的状态
• 建议周期：1.5～2 周（每周 8～10 小时，含 OpenSCAP 跑全 profile + 备份恢复演练）
• 前置知识：identity-and-ssh permissions-and-mac network-and-kernel
• 最终目标：能配置 auditd 规则覆盖 CIS 推荐项并验证事件、能配置 journald 持久化 + 集中日志、能跑 OpenSCAP SCAP 1.3 与 Lynis 双扫描并解读报告、能用 restic 或 borgbackup 设计异地多活备份并完成一次恢复演练、能按 PICERL 写 IR 流程

1. 学习路线

auditd 框架（auditctl / audit.rules / ausearch / aureport）
  → 关键规则（账号 / 提权 / 配置 / 内核模块加载）
  → journald 持久化与转发（Storage / ForwardToSyslog）
  → rsyslog / syslog-ng 与 syslog 协议
  → 集中日志（rsyslog → graylog / loki / ELK / splunk）
  → HIDS（AIDE / Tripwire / OSSEC-Wazuh / Samhain）
  → 漏洞与合规：CIS Benchmark / DISA STIG / NIST SP 800-53
  → 扫描器：OpenSCAP（XCCDF / OVAL / SCAP 1.3）+ Lynis + Vuls
  → 报告解读（HTML / ARF / lynis.log）
  → 备份原则（3-2-1 / 异地 / 加密 / 演练）
  → restic / borgbackup / 备份到 S3 / 演练恢复
  → IR 流程：NIST SP 800-61 / SANS PICERL

按”先检测，再合规，最后兜底”的顺序：先把事件留痕（auditd / journald / 集中）；再用扫描器对照基线；最后用备份守住底线。

2. 阶段周数分配（1.5～2 周，建议 2 周）

每天 1.5 小时；1.5 周速通每天 2 小时能跑完，但 oscap 跑全 profile + 演练备份恢复需时。建议 2 周：给备份恢复演练（30 分钟）和 IR 模板打磨留时间。

3. 十阶段表

关键陷阱：auditd 规则写在命令行重启后清空；journald 默认 volatile 重启丢；rsyslog 集中但磁盘满；AIDE 数据库与备份同盘 = 一起丢；oscap profile 选错；restic repo 没加密 = 备份即泄露；备份密钥随备份走 = 一起丢；IR 取证覆盖生产数据。

4. 第一周任务（每天 1.5～2 小时）

Day 1 约定：用一台 Ubuntu 22.04 或 RHEL 9.x 虚机/容器，先建快照；统一记录 auditctl -V、auditctl -l、journalctl --verify、rsyslogd -v、oscap --version、lynis --version、restic version、borg --version。

Day 7 拆解

步骤 A —— 最小可用（90 分钟）

1. 装 restic：Ubuntu apt install restic / RHEL dnf install epel-release && dnf install restic；
2. echo "RESTIC_PASSWORD=$(head -c 32 /dev/urandom | base64)" | sudo tee /etc/restic/backup.env；chmod 600 /etc/restic/backup.env；
3. sudo mkdir -p /var/backup/restic-repo && sudo restic -c /etc/restic/backup.env init；
4. sudo restic -c /etc/restic/backup.env backup /etc /var/log /srv --exclude /srv/cache；
5. sudo restic -c /etc/restic/backup.env snapshots；
6. 故意 sudo rm /etc/resolv.conf；
7. sudo restic -c /etc/restic/backup.env restore latest --target / --include /etc/resolv.conf；
8. 验证：cat /etc/resolv.conf 恢复；
9. sudo restic -c /etc/restic/backup.env check 看数据完整性。

步骤 B —— 加 IR 模板（30～45 分钟）

1. 写 notes/incident-response.md 模板，包含 6 段（PICERL）：
   • 准备：联系清单 + 备机列表 + 取证工具；
   • 识别：ausearch -m AVC + journalctl -p err --since + ss -lnt + find / -mtime -3；
   • 遏制：隔离网卡 / 禁用账号 / 关闭 service；
   • 根除：杀进程 / 删恶意文件 / 改密码 / 轮换密钥；
   • 恢复：从 restic 恢复配置 + 验证 + 监控；
   • 复盘：时间线 + IOC + 缺失的加固；
2. 计算 RPO（备份间隔 ≤ 24h）与 RTO（恢复时间）：start=$(date +%s); restic restore latest --target /tmp/r; echo "RTO: $(($(date +%s) - start)) seconds"；
3. restic forget --keep-hourly 24 --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune 设 retention policy；
4. 把 backup.env 的口令摘出来单独保管（KMS / 纸质）；
5. 计划一次”断电演练”：在另一台机器跑 restic restore，验证异地恢复路径。

5. 阶段通用验收（每一阶段都通过）

1. 能用 1 张表说出 auditd 关键规则 key（passwd_changes/shadow_changes/sudoers_changes/time-change/modules/mounts）；
2. 改完配置用 auditctl -l、ausearch -k <key>、aureport --summary、oscap xccdf eval --results scan.xml、lynis audit system、restic snapshots 看证据，存进 notes/；
3. 制造 1 个对照实验：留 auditd 关 → usermod 后 ausearch 看不到事件；开 auditd + 规则 → 看到事件；
4. 至少 3 组自定义数据：故意改 /etc/passwd 看 ausearch；故意 rm 文件后 restic restore；故意改配置后 oscap 跑出 critical；
5. 记录变更：每加一条 auditd 规则 / HIDS 规则 / 备份策略 写 1 条（who/when/what/why）；
6. 能修改已有 audit 规则（删/加一条审计 key）、修改 oscap profile 选择、修改备份 retention，而不是只照搬。

6. 最终验收（学完 10 阶段后）

• 独立完成：auditd 30+ 条规则覆盖 CIS 4.x 推荐；journald 持久化；rsyslog 集中；AIDE 数据库 + check；oscap 跑全 profile 0 critical；lynis hardening_index ≥ 80；restic repo 加密 + 演练恢复；IR 6 段模板；
• 完成至少 30 条 CIS 4.x 审计控制项：用 auditctl -l 对照；至少 20 条 OpenSCAP cis_level1_server 控制项 pass；至少 1 次 restic 恢复演练（RTO ≤ 30 分钟）；
• 完成 1 个综合项目：在一台预加固机器上做”全链路审计 + 一次入侵复盘 + 一次数据恢复”：用 auditd 取证、oscap 找 critical、restic 恢复被误删文件；输出 incident-response.md 与 dr-drill.md；
• 用 15 分钟讲清”检测（auditd / HIDS）→ 集中（journald + rsyslog）→ 评估（oscap / lynis）→ 备份（restic）→ IR（PICERL）“五层各堵哪类风险，auditd -w 与 -S 的取舍。

7. 综合项目

首选：写一份 harden-audit-backup.md —— 准备一台已加固的 Ubuntu 22.04 虚机（前三张子主题的成果），按 10 阶段顺序跑：auditd → 规则 → journald → 集中 → HIDS → CIS gap → oscap → lynis → 备份 → IR。

要求：

• 准备 notes/baseline-before.md：auditctl -l | wc -l、oscap xccdf eval critical 数、lynis hardening_index、无 backup 演练；
• 逐项改：auditd 规则 → journald 持久化 → rsyslog 集中 → AIDE 初始化 → oscap 跑全 profile → lynis 跑分 → restic init + 备份 → 演练恢复；
• 持久化：/etc/audit/rules.d/audit.rules、/etc/systemd/journald.conf.d/99-persist.conf、/etc/rsyslog.d/10-forward.conf、/var/lib/aide/aide.db、/etc/restic/backup.env；
• 验证：auditctl -l | wc -l ≥ 30；ausearch -k passwd_changes --start today 命中；oscap xccdf eval critical 降到 0；lynis show hardening_index ≥ 80；restic check 通过；restic restore latest --target /tmp/r 成功恢复；
• 输出 notes/retrospective.md：哪些被坑过（auditd 规则不持久、AIDE 数据库与备份同盘、oscap profile 选错、restic repo 没加密）；写 notes/incident-response.md。

备选：在一台故意”裸奔”机器上做 IR 演练：人为注入”入侵痕迹”（陌生公钥、SUID shell wrapper、被改的 cron），按 IR 模板做识别 / 遏制 / 根除 / 恢复 / 复盘。

任何综合项目都必须包含：

1. 需求与成功标准（含 auditd 规则数、scan critical、hardening_index、RPO/RTO）；
2. 基线 vs 目标差距表；
3. 配置按层（auditd / journald / rsyslog / HIDS / oscap / lynis / restic / IR）；
4. 脚本化（scripts/harden-audit-backup.sh + scripts/verify-audit-backup.sh），幂等可重跑；
5. 正常 + 异常验证（关 auditd → 事件丢失；跑 oscap → critical 数；删文件 → restic 恢复）；
6. 报告：基线、目标、结果、剩余项、复盘；
7. README；
8. 复盘记录。

本主题贡献（Loop 6-D · linux-hardening / audit-compliance-and-backup）

本主题把”基线扫描、运行时审计、备份恢复、合规对账”四条独立工程线拧成一条验收闭环，输出可被其它子主题复用的加固包与 IR 模板。

3 项核心职责

• 基线 + 合规扫描：用 OpenSCAP + SCAP Security Guide 跑 CIS Benchmark（含 RHEL 8 / Ubuntu 22.04 profile），记录 critical 数与 hardening_index；用 lynis 做二次体检，输出”基线 vs 目标”差距表。
• 运行时审计 + 日志：用 auditd 写规则集（文件 / 系统调用 / 登录 / 提权）并 /etc/audit/rules.d/ 持久化，配 journald + rsyslog 把事件送到远端；故意关 auditd 验证事件丢失，确认规则不持久就会失效。
• 备份 + 恢复：用 restic 写加密增量备份（含 offsite），配 cron + systemd timer 触发；故意删文件做 restore 演练，验证 RPO / RTO 达标。

4 项交付物

1. 基线 vs 目标差距表：OpenSCAP + lynis 报告原文（HTML / JSON），逐条对照 CIS Benchmark 控制项号与期望证据命令。
2. auditd 规则集 + 持久化：/etc/audit/rules.d/hardening.rules + augenrules --load，配 auditd + journald + rsyslog 配置三层按层落档，故意关 auditd 验证事件丢失。
3. restic 加密备份 + 恢复脚本：scripts/harden-audit-backup.sh + scripts/verify-audit-backup.sh（幂等可重跑），含 restic init / restic backup / restic forget / restic restore，故意删文件做 restore 演练。
4. IR 演练记录：在一台”裸奔”机器上人为注入入侵痕迹（陌生公钥、SUID shell wrapper、被改的 cron），按识别 / 遏制 / 根除 / 恢复 / 复盘 5 步走，配 notes/incident-response.md。

3 个验收指标

• OpenSCAP scan：critical = 0、hardening_index ≥ 80%（与目标 profile 对齐）。
• auditd：规则集 ≥ 30 条，auditctl -l 可查，关 auditd 后事件立即丢失（验证规则持久化生效）。
• restic：备份恢复 RTO ≤ 30 分钟、RPO ≤ 24 小时，repo 必须加密（restic snapshots --json 可查）。

8. 推荐开源资料（按角色分工，避免堆链接）

许可证提示：CIS Benchmarks 注册免费账号下载；NIST SP 800-61r2 公开；OpenSCAP 是 LGPL-2.1；ComplianceAsCode SSG GPL-3.0+ / BSD；Lynis GPL-3.0；Vuls AGPL-3.0（注意 AGPL 在网络服务场景的开源传染要求）；restic BSD-2-Clause；borgbackup BSD-3-Clause；Wazuh GPL-2.0。复制 CIS 控制点脚本到生产前先在 staging 验证 —— 默认读思路后自己写。

默认使用顺序：man page → Red Hat Security Guide → CIS / DISA / NIST 基线 → OpenSCAP / Lynis 工具 → restic 演练 → 复盘到 notes/retrospective.md 与 notes/incident-response.md。

9. 学习资料汇聚（v0.3 自包含）

本节由本计划生成。

9.1 背景与动机

前 8 阶段把”门”加固了。但安全不是 0/1：攻击者可能已从某个 CVE 进来；合规审计要求每年 / 每季度扫描；硬件故障、误删、勒索软件可能让你”即使没被攻破，也得恢复”。

审计给你”发生了什么”的答案：谁在什么时候改了 /etc/passwd、谁跑过 usermod、谁 mount 过 USB。合规扫描给你”和基线差距”的答案：哪些 CIS / DISA 控制项没满足。备份给你”被破坏后能恢复”的答案：文件、配置、密钥、日志的副本在另一处。

这三层组成了**检测（audit + HIDS）→ 评估（OpenSCAP / Lynis）→ 恢复（restic / IR）**的纵深。

9.2 概念地图

flowchart TB
  Audit[auditd]
  Journal[journald]
  Syslog[rsyslog / syslog-ng]
  HIDS[AIDE / Tripwire / Wazuh]
  Center[SIEM / loghost]
  CIS[CIS Benchmark]
  STIG[DISA STIG]
  NIST[NIST SP 800-53 / 800-123]
  OSCAP[OpenSCAP / SCAP 1.3]
  Lynis[Lynis]
  Vuls[Vuls]
  Backup[Backup]
  Restic[restic]
  Borg[borgbackup]
  IR[Incident Response]
  PICERL[PICERL]
  80061[NIST SP 800-61]
  Audit --> Center
  Journal --> Center
  HIDS --> Center
  Syslog --> Center
  CIS --> OSCAP
  STIG --> OSCAP
  NIST --> OSCAP
  OSCAP --> Report[Reports / ARF]
  Lynis --> Report
  Vuls --> Report
  Backup --> Restic
  Backup --> Borg
  Restic --> IR
  Borg --> IR
  IR --> 80061
  IR --> PICERL

9.3 基础知识讲解

9.3.1 主推

9.3.2 备查

9.3.3 必查 man pages

• auditd(8) auditctl(8) audit.rules(5) ausearch(8) aureport(8) augenrules(8)
• systemd-journald(8) journald.conf(5) journalctl(1)
• rsyslogd(8) rsyslog.conf(5) logger(1)
• aide(1) aide.conf(5)
• oscap(8) oscap-info(8) scap-security-guide
• restic(1) borg(1)

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• auditd：内核审计；可监控文件 / syscall。
• journald：systemd 自带日志；可转发 syslog。
• rsyslog / syslog-ng：传统 syslog 实现。
• AIDE / Tripwire / Wazuh：HIDS 文件完整性。
• OpenSCAP：合规扫描；支持 XCCDF / OVAL。
• Lynis：单主机 hardening 检查。
• Vuls：基于 NVD/OVAL 的漏洞扫描。
• restic / borgbackup：去重 + 加密 + 版本化备份。
• NIST SP 800-61 / SANS PICERL：IR 流程参考。
• CIS / DISA / NIST 800-53 / 800-123：合规基线。
• 这些层不替代应急响应 SOP 和法务通报。

9.6.3 Structure

• auditd 关键：
  • 文件路径监控：auditctl -w /etc/passwd -p wa -k passwd_changes
  • 系统调用：auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time-change
  • 排除：auditctl -a never,exit -F exe=/usr/bin/grep
  • 关键 key：passwd_changes shadow_changes sudoers_changes time-change system-locale modules mounts
• journald 关键：Storage=persistent SystemMaxUse=200M MaxRetentionSec=2week ForwardToSyslog=yes RateLimitIntervalSec=30s RateLimitBurst=1000。
• rsyslog 关键：module(load="imuxsock") module(load="imjournal") *.* @loghost:514（UDP）/ *.* @@loghost:514（TCP）/ *.* @(transport-tls)loghost:6514（TLS）。
• OpenSCAP 关键命令：
  • oscap info /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml
  • oscap xccdf generate guide /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml
  • oscap xccdf eval --profile cis_level1_server --results scan-results.xml --report scan-report.html /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml
• Lynis：lynis audit system lynis show details lynis show warnings。
• restic 关键：init backup snapshots restore check prune forget。

9.6.4 Ecosystem

• 集中日志：Graylog、ELK、loki、splunk、qradar。
• HIDS：AIDE、Tripwire、OSSEC / Wazuh、Samhain、afick。
• 扫描器：OpenSCAP、Lynis、Vuls、kube-bench（K8s）、anchore（容器）。
• 漏洞库：NVD、GHSA、Ubuntu USN、Debian DSA、Red Hat RHSA、Oracle ELSA。
• 备份后端：S3、SFTP、Backblaze B2、Azure Blob、本地磁盘。
• IR 工具：Velociraptor、MISP、GRR、TheHive / Cortex。
• 事实标准：CIS 是事实基线，SP 800-53 是国家控制项，OpenSCAP 是事实扫描器。

9.6.5 Depth Tiers

本计划目标：L3。

9.6.6 Source

• Linux Audit：https://github.com/linux-audit
• ComplianceAsCode/content：https://github.com/ComplianceAsCode/content
• OpenSCAP：https://www.open-scap.org/
• Lynis：https://cisofy.com/lynis/
• Vuls：https://vuls.io/
• restic：https://restic.readthedocs.io/
• borgbackup：https://borgbackup.readthedocs.io/
• NIST SP 800-61r2：https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf
• CIS Benchmarks：https://www.cisecurity.org/
• DISA STIG：https://public.cyber.mil/stigs/
• 引用版本快照日期：2026-07-30。

10. 常见误区

• auditd 规则写在命令行，重启清空；
• journald 默认 volatile，重启日志丢；
• rsyslog 集中但 loghost 无限流，本地雪崩；
• AIDE 数据库与备份同盘，一损俱损；
• oscap profile 选错，报告过但漏关键；
• Lynis warning 当 info，真问题漏；
• restic repo 没加密，备份即泄露；
• 备份密钥随备份走，一起丢；
• 备份只本地一份，磁盘坏即丢；
• 没演练恢复，备份损坏不知；
• IR 时直接在生产取证，污染证据；
• 复盘记录无文档化，同类事件再发；
• 集中日志用 UDP 514，丢包 / 注入；
• 多主机时间不同步，事件难对齐；
• 备份时业务高峰，IO 抖动；
• 备份完不校验，文件损坏不知；
• 审计日志被攻击者清；应远端 / 单独分区；
• 备份里含敏感明文，备份即泄露。

11. 所有知识点分类（统一规则）

1. 编程语言
2. 数据结构与算法
3. 计算机基础
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力
9. 安全与可靠性

本计划归属：安全与可靠性 主 + 工程技术 辅。