ansfers_2.5 stat utils + audit Flashcards
(68 cards)
1
Q
- Для чего используются утилиты для мониторинга и анализа системы?
A
формирование действий для улучшения безопасности системы
отслеживание работы служб и приложений на предмет постороннего вмешательства для своевременного обнаружения взлома и защиты от него
2
Q
- Какая команда позволяет получить информацию о загрузке процессора?
A
iostat -с
mpstat -A
vmstat -a
htop
3
Q
- Какие утилиты можно использовать для отслеживания использования памяти?
A
free
htop
vmstat
df
du
4
Q
- Какие утилиты помогают анализировать статистику ввода-вывода (I/O)?
A
iostat и vmstat
5
Q
- Какая утилита позволяет отслеживать активность пользователей и процессов?
A
iostat
w
htop
6
Q
- Какие утилиты предоставляют детализированную информацию о процессах и их ресурсах?
A
htop
iostat
mpstat
7
Q
- Какая команда помогает определить, сколько свободного дискового пространства осталось на системе?
A
df -h /путь
8
Q
- Какая утилита предоставляет информацию о размере файлов и каталогов на диске?
A
- df
- du
9
Q
- Какие команды и утилиты можно использовать для мониторинга системных ресурсов в реальном времени?
A
htop, top, iotop
также можно использовать watch вместе с утилитами, которые выводят результаты использования ресурсов на момент вывода, например, watch free, watch vmstat и тд
10
Q
- Как можно определить, какой процесс занимает больше всего ресурсов с помощью указанных утилит?
A
С помощью htop можно открыть процессы в реальном времени и отсортировать их по использованию процессора или памяти. Так же процессы могут показать top и ps.
11
Q
- Какие метрики и показатели системы можно отслеживать с использованием перечисленных команд и утилит?
A
- df:
◦ Общий объем дискового пространства. ◦ Использованное дисковое пространство. ◦ Свободное дисковое пространство. ◦ Использование в процентах.
- du:◦ Размеры файлов и директорий в указанной директории.◦ Общий объем использованного дискового пространства.
- free:◦ Общий объем оперативной памяти.◦ Использованная оперативная память.◦ Свободная оперативная память.◦ Кэшированная память.◦ Раздел подкачки (swap).◦ Использование оперативной памяти в процентах.
- iostat:◦ Статистика ввода/вывода для дисков.◦ Пропускная способность дисков.◦ Среднее время ответа дисков.◦ Информация о поддержке ввода/вывода.
- mpstat:◦ Загрузка процессора по ядрам.◦ Информация о прерываниях и контекстных переключениях.
- vmstat:◦ Активность памяти и подкачки.◦ Статистика процессора.◦ Статистика ввода/вывода.◦ Информация о процессах.
- w:◦ Активность пользователей.◦ Загруженность системы.◦ Время работы системы.◦ Средняя загрузка системы.
- htop:◦ Интерактивный монитор ресурсов, включая процессы, память и загрузку процессора.◦ Статистика ввода/вывода.◦ Информация о процессах в реальном времени.
12
Q
- Какие утилиты полезны для обнаружения проблем с производительностью и ресурсами на сервере?
A
htop: Интерактивный монитор процессов и ресурсов, предоставляет детализированную информацию о загрузке процессора, использовании памяти и дисковом вводе/выводе.
vmstat: Предоставляет обширную статистику по системным ресурсам, включая процессор, память, подкачку и ввод/вывод.
iostat: Отображает статистику по вводу/выводу, что может быть полезно для выявления проблем с дисками.
top: Отображает текущую активность процессов, процессора и памяти.
mpstat: Позволяет мониторить использование процессора по ядрам, что может быть полезно при выявлении проблем с CPU.
free: Предоставляет информацию о свободной и используемой оперативной памяти.
w: Отображает текущую активность пользователей и системные ресурсы.
13
Q
- Как можно использовать результаты анализа системы с помощью этих утилит для оптимизации работы сервера?
A
Основываясь на результаты анализа, можно найти подозрительные процессы, которые потребляют много памяти и сильно загружают процессор, можно оценить, стоит ли докупить новые процессоры и ОЗУ, новые накопительные устройства для увеличения постоянной памяти.Также можно определить, какие службы не так необходимы, удалить, отключить ил заменить их, включать по необходимости и тд.
14
Q
- Какие команды и утилиты вы предпочли бы использовать для анализа конкретной проблемы с производительностью на сервере?
A
-
Утилиты мониторинга процессов:
- htop:
- top:
-
Мониторинг ввода/вывода:
- iostat:
-
Мониторинг процессора:
- mpstat:
-
Мониторинг памяти:
- vmstat:
- free: Отображает информацию о свободной и использованной оперативной памяти.
-
Логи системы:
- **journalctl:
15
Q
- Как можно автоматизировать мониторинг и анализ системы с использованием утилит и скриптов?
A
- Использование Утилит Мониторинга:
- cron: Настроить периодические задачи с помощью cron для запуска утилит мониторинга, таких как vmstat, iostat, и др.
Выполняем команду
crontab -e
Пример: Запустить vmstat каждые 5 минут и записывать результат в файл:
*/5 * * * * /usr/bin/vmstat 1 10 >> /var/log/vmstat.log
- sar: Системный анализатор и репортёр (System Activity Reporter) позволяет автоматически собирать статистику по процессору, памяти, вводу/выводу и др.
- Использование Мониторинговых Систем:
- Рассмотрите использование специализированных мониторинговых систем, таких как Prometheus, Grafana, Nagios, Zabbix и др. Эти инструменты предоставляют возможности для автоматического сбора данных, создания графиков, оповещений и анализа.
- Логирование:
- Используйте централизованные системы логирования, такие как ELK Stack (Elasticsearch, Logstash, Kibana) или Graylog для хранения и анализа логов. Скрипты и утилиты могут генерировать логи, которые затем могут быть проанализированы.
16
Q
- Какие альтернативные утилиты или методы мониторинга и анализа системы вы знаете помимо перечисленных?
A
-
SAR (System Activity Reporter):
- Позволяет собирать, сохранять и анализировать данные о использовании системы, включая CPU, память, ввод/вывод и другие ресурсы.
-
Prometheus:
- Система мониторинга и тревожных сигналов с открытым исходным кодом. Он может собирать данные с различных компонентов системы и предоставлять гибкую систему запросов и визуализацию данных.
-
Grafana:
- Визуализационный инструмент, который может работать с данными из различных источников, включая Prometheus, и предоставляет гибкие панели для мониторинга и анализа.
-
Nagios:
- Система мониторинга с открытым исходным кодом, которая может отслеживать состояние различных хостов и служб, а также предоставлять оповещения в случае обнаружения проблем.
-
Zabbix:
- Интегрированная система мониторинга и управления с открытым исходным кодом, предоставляющая возможности мониторинга и оповещения.
-
Sysdig:
- Инструмент для мониторинга и отладки систем, который позволяет анализировать производительность, события и даже проводить глубокий анализ системы.
-
Netdata:
- Мониторинг в реальном времени с открытым исходным кодом, предоставляющий графику и аналитику для различных параметров системы.
-
Collectd:
- Система для сбора и отправки статистики о производительности с хостов на центральный сервер.
-
Cacti:
- Инструмент для мониторинга и визуализации сетевой и системной активности.
-
Monit:
- Утилита для управления и мониторинга служб и ресурсов на сервере, с возможностью оповещения о проблемах.
-
ELK Stack (Elasticsearch, Logstash, Kibana):
- Сочетание инструментов для централизованного хранения, анализа и визуализации логов системы.
-
Docker Stats:
- Команда Docker для отображения статистики использования ресурсов контейнеров.
-
iftop и nload:
- Дополнительные утилиты для мониторинга сетевого трафика.
17
Q
- Какие утилиты и команды могут быть доступны в разных операционных системах для анализа системы?
A
Linux и Unix-подобные системы:
1. Общая информация о системе:
◦ top: Отображает текущее использование ресурсов и активность процессов в реальном времени.
◦ htop: Интерактивная версия top с дополнительными функциями и удобным интерфейсом.
2. Загрузка процессора:
◦ mpstat: Показывает статистику процессора, включая загрузку по ядрам.
3. Использование памяти:
◦ free: Отображает информацию о свободной и использованной оперативной памяти.
4. Статистика ввода/вывода:
◦ iostat: Предоставляет статистику ввода/вывода дисков и других устройств.
5. Статистика сети:
◦ iftop: Показывает текущий сетевой трафик в реальном времени.
◦ nload: Отображает график использования сетевого трафика.
6. Статистика процессов:
◦ ps: Выводит текущие процессы.
◦ pgrep: Поиск процессов по имени.
◦ pkill: Завершение процессов по имени.
7. Статистика памяти и подкачки:
◦ vmstat: Показывает статистику использования памяти, подкачки и других ресурсов.
8. Детализированный анализ процессов:
◦ pidstat: Показывает статистику по процессам, включая использование CPU и памяти.
Windows:
1. Общая информация о системе:
◦ Task Manager: Встроенный инструмент для отображения активных процессов, загрузки CPU, использования памяти и других системных ресурсов.
2. Монитор ресурсов:
◦ Resource Monitor: Позволяет отслеживать активность процессов, использование CPU, памяти, дисков и сети.
3. Анализ загрузки процессора:
◦ perfmon: Системный монитор, который может быть настроен для отслеживания различных параметров, включая загрузку процессора.
4. Анализ использования памяти:
◦ perfmon: Также позволяет отслеживать использование памяти.
5. Анализ дискового ввода/вывода:
◦ perfmon: Может быть настроен для мониторинга статистики дискового ввода/вывода.
6. Дополнительные инструменты:
◦ Process Explorer: Более мощный инструмент для анализа процессов и ресурсов.
macOS:
1. Общая информация о системе:
◦ Activity Monitor: Графический инструмент для отслеживания процессов и ресурсов.
2. Монитор процессора:
◦ top: Доступен в командной строке, как и в Linux.
3. Монитор использования памяти:
◦ top или Activity Monitor.
4. Монитор дискового ввода/вывода:
◦ iostat: Встроенная утилита для анализа статистики ввода/вывода.
5. Монитор сети:
◦ netstat: Отображает статистику сетевых подключений.
◦ Activity Monitor.
6. Монитор памяти и подкачки:
◦ vm_stat: Выводит статистику использования памяти и подкачки.
18
Q
- Как можно использовать полученные данные для повышения безопасности и производительности системы?
A
С помощью htop, top, ps можно искать подозрительные, ненужные и очень затратные процессы, чтобы убрать и удалить всё лишнее.
С помощью netstat, iftop можно остлеживать странные соединения, чтобы увеличить безопасность, а nload вместе с ними поможет в оптимизировании конфигураций.
С помощью w можно отслеживать, кто и когда заходит в систему, это повысит безопасность.
Iostat может помочь в оптимизации ввода/вывода, если правильно настроить конфигурацию дисков.
Free и vmstat помогут в отслеживании использования памяти.
Также помочь с безопасностью и производительностью может логирование.
19
Q
- Какие специфические задачи администрирования можно решить с использованием перечисленных утилит?
A
- df и du:
◦ df: Определение использования дискового пространства на различных разделах файловой системы. ◦ du: Анализ использования дискового пространства внутри конкретных директорий и поддиректорий.
- free и vmstat:◦ free: Определение общего объема, использованной и свободной оперативной памяти, а также использования подкачки.◦ vmstat: Мониторинг статистики по использованию памяти, подкачке, процессоре и дисковой подсистеме.
- iostat:◦ Оценка статистики ввода/вывода, такой как скорость передачи данных, уровень загрузки диска и среднее время обращения к диску. Помогает выявить узкие места в подсистеме хранения.
- mpstat:◦ Анализ загрузки процессора по ядрам. Позволяет выявить узкие места в использовании CPU и распределить нагрузку более эффективно.
- w и htop:◦ w: Отображение активных сеансов пользователей, их активность и текущую нагрузку на систему.◦ htop: Интерактивная версия top, предоставляющая более широкие возможности мониторинга процессов и системных ресурсов.
- ps:◦ Вывод списка текущих процессов с различными параметрами, такими как их идентификатор, статус, использование CPU и памяти.
- netstat:◦ Просмотр активных сетевых подключений, таблицы маршрутизации, статистику интерфейсов и другую сетевую информацию.
- iftop:◦ Мониторинг сетевого трафика в реальном времени с указанием использования пропускной способности для каждого сетевого соединения.
20
Q
- Какие опции и аргументы можно использовать с каждой из перечисленных команд для более детального анализа системы?
A
df:
-h: Вывести размеры в человекочитаемом формате.
-i: Показать использование индексных узлов (inodes).
du:
-h: Вывести размеры в человекочитаемом формате.
-s: Показать общий размер для каждой директории.
-c: Показать общий размер для всего списка.
free:
-h: Вывести размеры в человекочитаемом формате.
-t: Показать общее количество памяти.
iostat:
-c: Показать статистику по использованию CPU.
-d: Показать статистику по использованию диска.
mpstat:
-P ALL: Показать статистику по каждому ядру процессора.
-I ALL: Показать статистику по использованию прерываний.
vmstat:
-s: Показать статистику по использованию памяти.
-d: Показать статистику по использованию диска.
-t: Включить временные метки.
w:
-u: Показать статистику по использованию CPU.
-m: Показать статистику по использованию памяти.
htop:
Нет определенных аргументов, но htop предоставляет интерактивный интерфейс с множеством опций для фильтрации, сортировки и управления процессами.
ps:
aux: Вывести полный формат, включая процессы всех пользователей.
aux –forest: Показать процессы в виде дерева.
netstat:
-a: Показать все сетевые соединения.
-r: Вывести таблицу маршрутизации.
iftop:
-i : Выбрать сетевой интерфейс для мониторинга.
-F : Применить фильтр для отображения только определенного трафика.
21
Q
- Какая команда используется для отображения информации о дисковом пространстве?
A
df -h
22
Q
- Какие опции можно использовать с командой df для вывода информации о файловых системах?
A
-h или –human-readable:
Вывод размеров в человекочитаемом формате (ГБ, МБ и т.д.).
-a или –all:
Вывод информации о всех файловых системах, включая те, которые обычно не отображаются.
-t <тип_файловой_системы> или –type=<тип_файловой_системы>:
Ограничение вывода по указанному типу файловой системы.
-i или –inodes:
Вывод информации о использовании индексных узлов (inodes) вместо блоков.
–total:
Вывод общего размера всех файловых систем в конце списка.
-P или –portability:
Использование портативного формата вывода (для легкости чтения другими программами).
23
Q
- Какие единицы измерения используются для отображения размеров дискового пространства с помощью команды df?
A
Команда df в Linux отображает размеры дискового пространства в стандартных единицах измерения, таких как килобайты (KB), мегабайты (MB), гигабайты (GB) и терабайты (TB), в зависимости от величины объема данных.
Когда вы используете опцию -h или –human-readable с командой df, размеры будут выведены в человекочитаемом формате, что делает их более удобными для восприятия.
24
Q
- Какая команда позволяет узнать размер каталога и его содержимое?
A
Команда du , сокращение от «использование диска», сообщает приблизительный объем дискового пространства, используемого данными файлами или каталогами. Это практически полезно для поиска файлов и каталогов, занимающих большие объемы дискового пространства.
Параметр -a указывает du сообщать об использовании дискового пространства каждым файлом в каталоге.
du -a /путьккаталогу
Для отображения только пространства, занимаемого данным каталогом, в удобочитаемом формате используется параметр -h .
25
474. Какие опции можно использовать с командой du для вывода размера каталога в байтах?
Флаг –bytes или -b (доступно только в GNU du) и определяет размер файла в байтах
26
475. Как можно сортировать результаты команды du по размеру?
При наличии GNU coreutils (распространенный в большинстве дистрибутивов Linux), вы можете использовать
du -h /путьккаталогу | sort -h
-h Опция сообщает sort, что входные данные представлены в удобочитаемом формате
27
476. Для чего используется команда free?
Команда free предоставляет информацию об общем объеме физической памяти и памяти подкачки , а также о свободной и используемой памяти. Подкаталоги отображаются в виде линий, которые выглядят как ветви деревьев, отсюда и название tree command.
Синтаксис команды: free \[options\]
28
477. Какие единицы измерения используются для вывода информации о памяти с помощью команды free?
При выводе информации о памяти с помощью команды free используются килобайты.
29
478. Какие столбцы отображаются в выводе команды free?
Вывод будет включать три строки, заголовок, одну строку для памяти и одну для свопа:
Mem Строка (вторая строка) - использование памяти.
Swap Строка (третья строка) - использование пространства подкачки.
total — это число представляет общий объем памяти, который может быть использован приложениями.
used — Используемая память. Он рассчитывается как: used = total - free - buffers - cache
free — Свободная / неиспользуемая память.
shared — этот столбец отображает размер совместно используемой физической памяти.
buff / cache — объединенная память, используемая буферами ядра, а также страничным кешем и блоками. Эта память может быть освобождена в любое время, если это необходимо приложениям.
30
479. Какие опции можно использовать с командой free для изменения интервала обновления?
Есть параметр “-s”, которая запускает команду free в течение заданного интервала секунд, пока пользователь не закроет программу (^ + C).
free -s 5
Существует также “-c”, который можно использовать отдельно или в сочетании с параметром секунд. Если вы введете только “-c” и целое число (n), команда будет запускаться n раз. По умолчанию используются интервалы в одну секунду.
free -c 6
Если вы хотите постоянно отслеживать использование памяти командой free, но не хотите, чтобы ее вывод загромождал экран, вы можете использовать команду watch вместе с командой free. Это покажет только один вывод для команды free, но этот вывод будет изменяться через регулярные промежутки времени.
watch free -h
31
480. Какая команда предоставляет информацию о загрузке ЦП и его использовании?
В Linux команда top предоставляет информацию о загрузке ЦП и его использовании. Команда top отображает текущую активность системы, включая использование ЦП, памяти, процессов и других ресурсов.
Чтобы запустить top, откройте терминал и просто введите top, затем нажмите клавишу Enter.
В окне top вы можете видеть загрузку ЦП в процентах для каждого ядра, общую загрузку системы и другую сводную информацию. Вы также можете увидеть список процессов, отсортированных по использованию ЦП.
Чтобы выйти из top, нажмите клавишу q.
32
481. Какая команда позволяет отслеживать статистику ввода-вывода (I/O) на системе?
Утилита iostat позволяет проанализировать загруженность системы. Она выводит основные параметры ввода и вывода данных на диск, скорость записи и чтения данных, а также количество записанных или прочитанных данных. Кроме того, утилита выводит параметры загруженности процессора. Её можно использовать для оптимизации работы системы.
33
482. Какие опции можно использовать с командой iostat для отображения средних значений за интервал времени?
-t: Эта опция позволяет отображать средние значения за интервал времени. Она включает столбец avg-cpu, который отображает среднюю загрузку ЦП за указанный период времени, а также столбцы, связанные с дисковыми операциями, такие как tps (транзакций в секунду), kB_read/s (количество прочитанных килобайт в секунду) и kB_wrtn/s (количество записанных килобайт в секунду) для каждого диска.
iostat -t 5
В этом примере команда iostat будет отображать средние значения каждые 5 секунд.
34
483. Какая команда выводит статистику по многопроцессорной системе?
mpstat - утилита для мониторинга производительности Unix/Linux, выводит отчёт об использовании процессоров.
Команда mpstat пишет в стандартный вывод на экран о каждом имеющемся процессоре, 0-й процессор будет выведен на первое место. Параметр «interval» определяет количество времени в секундах между каждым отчетом. Значение 0 (или без параметров) показывает статистику о процессорах и отчетность будет представляться с момента запуска системы (загрузки).
35
484. Какие опции можно использовать с командой mpstat для отображения информации о каждом процессоре?
Параметр «-P ALL», покажет все индивидуальные процессоры или ядра вместе со статистикой:
mpstat -P ALL
Для отображения статистически о конкретном CPU или ядре, используется опция «-P»:
mpstat -P 0
36
485. Какая команда предоставляет информацию о состоянии системы, такую как память, ЦП и ввод-вывод?
Команда vmstat в Linux / Unix - это команда мониторинга производительности системы, поскольку она предоставляет информацию о процессах, памяти, подкачке, блочном вводе-выводе, расписании диска и процессора.
37
486. Какие столбцы в выводе команды vmstat отображают информацию о запасе памяти и процессах?
В выводе команды vmstat следующие столбцы отображают информацию о запасе памяти и процессах:
swpd: Отображает объем виртуальной памяти, используемой для подкачки страниц на диск (в килобайтах). Это значение может указывать на то, что системе не хватает физической памяти, и происходит подкачка данных на диск.
free: Показывает объем свободной физической памяти (в килобайтах). Это количество памяти, которая доступна системе без подкачки страниц на диск.
buff: Отображает объем памяти, используемой в качестве буферов (в килобайтах). Буферы используются для временного хранения данных перед их записью на диск.
cache: Показывает объем памяти, используемой в качестве кэша (в килобайтах). Кэш используется для хранения часто используемых данных, чтобы ускорить доступ к ним.
inact: Отображает объем неактивной памяти (в килобайтах). Это память, которая не используется в данный момент, но может быть использована, если понадобится.
active: Показывает объем активной памяти (в килобайтах). Это память, которая активно используется системой и процессами.
si (swap in): Отображает количество страниц, загруженных из подкачки на диск в память в секунду.
so (swap out): Показывает количество страниц, выгруженных из памяти на диск в секунду.
bi (blocks in): Отображает количество блоков, прочитанных с диска в секунду.
bo (blocks out): Показывает количество блоков, записанных на диск в секунду.
Кроме того, vmstat также предоставляет информацию о процессах в столбцах procs. Эта информация включает:
r: Количество процессов, выполняющихся в данный момент (в режиме исполнения).
b: Количество процессов, заблокированных, ожидающих завершения операции ввода-вывода (I/O).
procs - waiting for memory: Количество процессов, ожидающих освобождения памяти.
38
487. Какая команда выводит список текущих пользователей и их активность?
Команда w выводит информацию об учётных записях, которые были активны в системе с момента включения компьютера, а также о действиях, воспроизводимых с каждого аккаунта.
39
488. Какие столбцы отображаются в выводе команды w?
USER — имя пользователя.
TTY — название терминала.
FROM — название удаленного компьютера или IP-адрес.
LOGIN — время входа в систему.
IDLE — время бездействия.
JCPU — время, использованное всеми процессами, подключенными к tty. Оно не включает завершенные фоновые задания, но включает фоновые задания, работающие в данный момент.
PCPU — время, использованное текущим процессом, который указан в поле WHAT. WHAT — текущий процесс (командная строка текущего процесса).
40
489. Как можно узнать, сколько процессов выполняется в системе с помощью команды w?
Команда `w` используется для отображения информации о текущих процессах и статистики использования ресурсов системы, включая количество процессов. Чтобы узнать количество процессов, выполняющихся в системе с помощью команды `w`, можно просто запустить эту команду без каких-либо дополнительных параметров:\
\
bash w После выполнения команды `w` вы увидите информацию о загруженности системы, текущих процессах и пользователях. В строке "load average" (средняя загрузка) будет отображено количество текущих процессов в системе. Например: 01:07:44 up 13 days, 2:17, 1 user, load average: 0.39, 0.21, 0.18 Здесь "load average" состоит из трех чисел, которые представляют среднюю загрузку системы за последние 1, 5 и 15 минут соответственно. Обычно последнее число отражает количество процессов в системе.
\
bash w После выполнения команды `w` вы увидите информацию о загруженности системы, текущих процессах и пользователях. В строке "load average" (средняя загрузка) будет отображено количество текущих процессов в системе. Например: 01:07:44 up 13 days, 2:17, 1 user, load average: 0.39, 0.21, 0.18 Здесь "load average" состоит из трех чисел, которые представляют среднюю загрузку системы за последние 1, 5 и 15 минут соответственно. Обычно последнее число отражает количество процессов в системе.
41
490. Какая команда предоставляет интерактивный мониторинг ресурсов системы?
Команда top или её более новая реализация htop
42
491. Какие клавиши можно использовать в htop для сортировки процессов по различным критериям?
F2 (Setup): Позволяет открыть меню настроек. В меню настроек вы можете выбрать, какой критерий использовать для сортировки.
F3 (Search): Позволяет фильтровать процессы по имени.
F4 (Filter): Позволяет задать фильтр для отображения определенных процессов.
F5 (Tree): Отображает процессы в виде древовидной структуры.
F6 (SortBy): Позволяет выбрать критерий сортировки. После нажатия F6 вы сможете выбрать критерий с помощью стрелок и Enter.
Примеры критериев сортировки:
%CPU: Загрузка процессора.
%MEM: Используемая память.
TIME+: Время выполнения процесса.
PID: Идентификатор процесса.
и другие.
F9 (Kill): Позволяет отправить сигнал процессу для завершения.
F10 (Quit): Выход из htop
43
492. Какая информация о процессах отображается в верхней части htop?
В верхней части htop отображается общая информация о системе и ресурсах. Вот некоторые основные элементы, которые вы обычно видите в верхней части htop:
Заголовок с системной информацией:
Имя хоста (hostname).
Время работы системы.
Текущее время.
Индикаторы загрузки процессора:
1m: Загрузка процессора за последнюю минуту.
5m: Загрузка процессора за последние 5 минут.
15m: Загрузка процессора за последние 15 минут.
Графики загрузки процессора:
Графики, отображающие загрузку процессора в процентах по каждому ядру.
Информация о памяти:
Общий объем памяти (Mem).
Используемая память (used).
Доступная память (available).
Информация о подкачке (Swap):
Общий объем подкачки.
Используемая подкачка.
Свободная подкачка.
Эти элементы предоставляют обзор текущей системной загрузки, используемых ресурсов и общей производительности. Важно отметить, что точный набор информации может зависеть от конфигурации htop и версии системы
44
493. Что такое Auditd и для чего он используется в Linux?
Auditd - это демон аудита (Audit daemon), который предоставляется во многих дистрибутивах Linux. Он используется для ведения журнала аудита событий в системе. Auditd позволяет отслеживать различные действия и события, происходящие в системе, такие как доступ к файлам, системным вызовам, сетевой активности, изменениям в системной конфигурации и многому другому. Он обеспечивает средства для мониторинга безопасности системы, анализа инцидентов и соблюдения законодательных требований.
45
494. Какой компонент операционной системы Linux отвечает за аудит событий?
Компонент операционной системы Linux, который отвечает за аудит событий, является системным аудитором (Linux Audit framework). Эта подсистема операционной системы позволяет прозрачно отслеживать и регистрировать различные события на уровне ядра и приложений. Компоненты этой подсистемы включают Auditd (демон аудита), файлы конфигурации, правила аудита, инструменты анализа и просмотра журналов аудита.
46
495. Как можно установить и активировать Auditd на Linux-системе?
Для установки и активации Auditd на Linux-системе можно использовать следующие шаги:
1. Установка: Сначала необходимо установить пакет audit на вашем сервере. На большинстве дистрибутивов Linux это можно сделать с помощью менеджера пакетов, например, apt (для Ubuntu), yum (для CentOS) или zypper (для openSUSE). Например, для установки на Ubuntu можно использовать команду:
sudo apt install audit
2. Активация: После установки пакета необходимо запустить Auditd, проверить его статус и настроить запуск при загрузке системы. Например, на Ubuntu это можно сделать следующим образом:
systemctl start auditd
systemctl enable auditd
systemctl status auditd
47
496. Какие основные цели аудита можно достичь с помощью Auditd?
Цели аудита, которые можно достичь с помощью Auditd, включают:
- Отслеживание изменений в системных конфигурациях и файлах
- Мониторинг доступа к файлам и директориям
- Регистрация событий входа в систему и выхода из нее
- Отслеживание действий администраторов и пользователей
48
497. Какие типы событий могут быть аудиторией с помощью Auditd?
Типы аудируемых событий включают:
- Файловые действия (открытие, закрытие, изменение, удаление)
- Сетевые действия (подключение, отключение)
- Аутентификационные действия (вход, выход, изменение пароля)
49
498. Какие системные ресурсы и действия могут быть отслежены с помощью Auditd?
С помощью Auditd можно отслеживать различные системные ресурсы и действия, такие как изменение системных файлов, использование привилегий администратора, доступ к конфиденциальной информации, сетевую активность, и многое другое.
50
499. Какие конфигурационные файлы используются для настройки Auditd?
Для настройки Auditd в Linux используются следующие конфигурационные файлы:
- /etc/audit/auditd.conf: Этот файл содержит основные настройки для сервиса Auditd, такие как пути к журналам аудита, максимальный размер файла журнала, время хранения, настройки удаленной передачи данных и другие глобальные параметры.
- /etc/audit/audit.rules: Этот файл используется для создания правил аудита, которые определяют, какие события и данные будут записываться в журнал аудита. Это может включать мониторинг файловой системы, системных вызовов, сетевой активности и других действий.
51
500. Какие директории содержат журналы аудита, созданные Auditd?
Журналы аудита, созданные Auditd, хранятся в директории: /var/log/audit/. В этой директории обычно содержатся несколько файлов журналов, включая текущие и архивные файлы журналов.
52
501. Какой формат журналов аудита используется в Linux?
Формат журналов аудита, используемый в Linux, называется форматом "audit". Этот формат предоставляет структурированные данные о событиях аудита, такие как тип события, метки времени, процессы, пользователи, действия и другие атрибуты события. Файлы журналов аудита в Linux обычно имеют расширение ".log".
53
502. Как можно просмотреть содержимое журналов аудита с помощью команды ausearch?
оманда ausearch предоставляет возможность поиска и фильтрации содержимого журналов аудита в Linux. Для просмотра содержимого журналов аудита с помощью ausearch вы можете использовать различные комбинации параметров. Вот несколько примеров использования команды ausearch:
1. Простой поиск:
ausearch
Эта команда отобразит все записи в журнале аудита.
2. Поиск по конкретному типу события:
ausearch -m \<тип_события\>
Например:
ausearch -m USER_LOGIN
Это отобразит все события входа пользователей.
3. Поиск по определенному пользователю:
ausearch -u \<имя_пользователя\>
Например:
ausearch -u root
Это отобразит все события, связанные с пользователем "root".
4. Поиск по определенному файлу:
ausearch -f \<путь_к_файлу\>
Например:
ausearch -f /etc/passwd
Это отобразит все события, связанные с файлом "/etc/passwd".
5. Дополнительные параметры поиска:
Вы также можете использовать другие параметры, такие как дата (-ts, -te), номер процесса (-p), идентификатор объекта (-k) и другие для более точного и детального поиска.
Используя команду ausearch с этими параметрами, вы сможете выполнять поиск и просмотр содержимого журналов аудита для анализа событий системы в Linux.
54
503. Какой командой можно просмотреть текущие правила аудита на системе?
Для просмотра установленных шаблонов используем следующий флаг:
auditctl –l
55
504. Какие аргументы можно использовать при добавлении новых правил аудита с помощью команды auditctl?
-b backlog
Установить количество доступных буферов
-e \[0..2\]
Установить флаг блокировки
-f \[0..2\]
Установить способ обработки для флага сбоя
-h
Краткая помощь
-i
Игнорировать ошибки при чтении правил из файла.
-l
Вывести список всех правил по одному правилу в строке.
-k \<ключ\>
Установить на правило ключ фильтрации
-m \<текст\>
Послать в систему аудита пользовательское сообщение
-p \[r|w|x|a\]
Установить фильтр прав доступа для точки наблюдения
-r \<частота\>
Установить ограничение скорости выдачи сообщений в секунду
-R \<файл\>
Читать правила из файла
-s
Получить статус аудита
так же после a можно указать действия: task, entry, exit, user, exclude
56
505. Как можно добавить правила аудита для отслеживания доступа к определенным файлам или каталогам?
sudo auditctl -w /path/to/file/or/dir -p wrxa -k audit_filter
где:
-w - означает просмотр
/home/audit.txt - путь к файлу
-p wrxa — разрешение на отслеживания
-k audit_filter — фильтрующий ключ
57
506. Как можно настроить Auditd для отслеживания неудачных попыток входа в систему?
aureport --login --summary -i
58
507. Какие события можно аудиторией, чтобы отслеживать изменения в системных файловых атрибутах?
Полагаю он имел ввиду какой фильтр можно установить
-p a – отслеживание изменения атрибута
59
508. Как можно настроить правила аудита для отслеживания действий определенного пользователя?
-a user,always
60
509. Как можно настроить Auditd для записи аудиторией событий в удаленный журнал?
в настройках логгирования /etc/audisp/plugins.d/audisp-remote.conf прописать директиву active = yes, и
в файле etc/audisp/audisp-remote.conf в значении параметра remote_server прописать ip
61
510. Какие утилиты и команды можно использовать для анализа журналов аудита?
aureport и ausearch
62
511. Какие метаданные о событии содержатся в записях журнала аудита?
type=SYSCALL, чем вызвана запись
msg=audit(1364481363.243:24287 отметка времени и доп данные
arch=c000003e, значение об архитектуре ЦП
syscall=2, тип системного вызова
success=no, был ли системный вызов
exit=-13, код завершения
a0=7fffd19c5592, a1=0, a2=7fffd19c5592,a3=a, первые четыре аргумента системного вызова
items=1, кол-во вспомогательных записей PATH
ppid=2686, id пользовательского процесса
pid=3538? id процесса
auid=1000, id пользователя аудита
uid=1000, id пользователя, запустившего анализируемый процесс
gid=1000, id группы пользователя
euid=1000, эффективный id пользователя
suid=1000,установленный идентификатор пользователя
fsuid=1000,идентификатор пользователя файловой системы
egid=1000,эффективный групповой идентификатор
sgid=1000, установленный групповой идентификатор
fsgid=1000, идентификатор группы файловой системы
tty=pts0,терминал
ses=1,идентификатор сеанса
comm="cat",имя команды
exe="/bin/cat",путь к исполняемому файлу
subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023,контекст SELinux
key="sshd_config",строка, связанная с правилом
https://access.redhat.com/documentation/ru-ru/red_hat_enterprise_linux/7/html/security_guide/sec-understanding_audit_log_files
63
512. Как можно определить, кто и когда выполнил определенное действие с помощью журнала аудита?
Посмотреть на поле egid в журнале
64
513. Как можно определить, какой процесс или приложение инициировал аудиторное событие?
Просмотреть на поле exe в журнале
65
514. Как можно настроить Auditd для оповещения о определенных событиях, например, через почту или лог?
Например, с помощью auditbeat связать аудит с kibana, и в ней настроить оповещения
66
515. Как можно анализировать журнал аудита для выявления потенциальных угроз безопасности?
Посмотреть неудачные попытки входа, попытки доступа к системным файлам и т.д.
67
516. Как можно настроить ротацию журнала аудита, чтобы предотвратить его переполнение?
Ротация журнала настраивается в /etc/audit/audit.conf
нужно прописать
max_log_file = 8
space_left = 100
space_left_action = ROTATE
68
517. Какие лучшие практики безопасности рекомендуется соблюдать при использовании Auditd для мониторинга и аудита в Linux?
Стремление к созданию таких правил, события которых будут означать возникновение инцидента. Кратко: если возникло событие по правилу инцидента, то возник и сам инцидент.
