lastlog、wtmp、btmp、utmpなどのログファイルに対する変更をauditdで監査する設定方法を確認しました
下記資料を参考にしました。
NSA（National Security Agency）の『Guide to the Secure Configuration of Red Hat Enterprise Linux 5』
設定例
/etc/audit/audit.rulesに下記設定を追加します。
（設定例）
-w /var/log/faillog -p wa -k logins
-w /var/log/lastlog -p wa -k logins
-w /var/run/utmp -p wa -k session
-w /var/log/btmp -p wa -k session
-w /var/log/wtmp -p wa -k session
（設定例の監査内容）
・下記ログファイルに対する書込み、属性変更を監査
/var/log/wtmp
システムに対するログイン試行のうち、成功したものについてその情報を記録。lastコマンドで参照
/var/log/btmp
/var/log/wtmpとは反対に、システムに対するログイン試行のうち、失敗したものについてその情報を記録。lastbコマンドで参照
/var/log/lastlog
システムに登録されているユーザーの最終ログイン時刻を記録。lastlogコマンドで参照。
/var/log/faillog
/var/log/btmpが不正なログインすべてを記録するのに対し、ユーザーごとにログインの失敗回数を記録。※CentOS6.2には無し
/var/run/utmp
システムを現在誰が使っているかという情報が記録。who、wコマンドで参照
・ログ記録の識別用に”logins”または”session”という文字列を付加
オプションの説明
・-w ファイルパス
監査対象のファイルパスを指定
・-k key
ログなどに記録されるレコードを後で識別できるように付加する文字列。管理者がログをある特定の監査記録を検索したり削除する際に使用できる。
・-p [r|w|x|a]
監視するパーミッション。
r=読込み, w=書込み, x=実行, a=属性変更