19.12.7 合规审计与流程闭环

合规审计与流程闭环#

合规审计的目标是确保运维活动满足法规、标准与内部控制要求，并形成可追溯、可复盘、可改进的流程闭环。本节以“制度-流程-工具-数据”四维为主线，补充可执行示例、安装与排错操作，并提供可复用的命令与练习。

一、合规审计流程原理草图（证据链闭环）

二、合规审计的范围与标准（含示例）
- 范围划定：账号与权限、变更与发布、配置与资产、日志与数据、备份与灾备、监控与告警、应急响应、供应商接入。
- 标准依据：等保、ISO27001、SOX、GDPR、内部SOP。
- 示例：基线条目清单（YAML）

# /opt/audit/baseline.yaml
permissions:
  sudoers_mfa: true
  root_login: "prohibit"
changes:
  require_approval: true
  rollback_plan: true
logging:
  auditd_enabled: true
  log_retention_days: 180
backup:
  rpo_hours: 4
  rto_hours: 2

三、证据采集与审计自动化（安装、命令、预期效果）

1) 审计日志采集（auditd 安装与启用）

# 安装审计组件（以 RHEL/CentOS 为例）
sudo yum install -y audit
sudo systemctl enable --now auditd

# 验证服务状态
sudo systemctl status auditd

# 预期效果：auditd 处于 active (running)

2) 关键审计规则配置（采集变更与特权操作）

# /etc/audit/rules.d/ops.rules
# 监控 /etc/sudoers 变更
-w /etc/sudoers -p wa -k sudoers_change
# 监控 SSH 配置变更
-w /etc/ssh/sshd_config -p wa -k ssh_change
# 监控系统账户文件
-w /etc/passwd -p wa -k account_change
-w /etc/shadow -p wa -k account_change

# 重新加载规则
sudo augenrules --load
sudo systemctl restart auditd

# 查询最近的 sudoers 变更事件
sudo ausearch -k sudoers_change -i | head -n 20

3) 变更合规检查示例（CI/CD 审批校验伪脚本）

# /opt/audit/check_change.sh
#!/bin/bash
set -e
CHANGE_ID=$1
APPROVER=$(grep "$CHANGE_ID" /opt/changes/approvals.txt | awk '{print $2}')

if [ -z "$APPROVER" ]; then
  echo "FAIL: change $CHANGE_ID has no approval"
  exit 2
fi
echo "PASS: change $CHANGE_ID approved by $APPROVER"

# 运行校验
chmod +x /opt/audit/check_change.sh
/opt/audit/check_change.sh CHG-20240101

# 预期：输出 PASS/FAIL，并可被流水线捕获

4) 配置漂移检测（基线对比）

# 生成基线
sudo sha256sum /etc/ssh/sshd_config /etc/sudoers > /opt/audit/baseline.hash

# 检测漂移
sudo sha256sum -c /opt/audit/baseline.hash

# 预期：OK 表示无漂移；FAILED 表示配置被修改

5) 日志留存与不可篡改示例（对象存储版本化）

# 归档并上传（示例：MinIO 客户端 mc）
mc alias set audit-store http://minio:9000 ACCESS_KEY SECRET_KEY
tar czf /opt/audit/archive/audit_$(date +%F).tar.gz /var/log/audit
mc mb -p audit-store/audit-logs
mc cp /opt/audit/archive/audit_$(date +%F).tar.gz audit-store/audit-logs/

# 预期：对象存储保留历史版本，防止覆盖篡改

四、关键审计点与可执行检查（命令解释）
- 权限合规（最小权限、回收）

# 列出所有sudo权限用户
sudo awk -F: '$1 ~ /sudo|wheel/ {print $1}' /etc/group

# 检查最近登录用户
last -n 10

变更合规（窗口、回滚）

# 发布记录示例（日志必须含变更号）
grep "CHANGE_ID" /var/log/deploy.log | tail -n 5

日志合规（留存周期）

# 检查日志保留时长（示例 logrotate）
grep -R "rotate" /etc/logrotate.d | head -n 5

备份合规（RPO/RTO 验证）

# 恢复演练：从备份解压到临时目录
tar xzf /backup/db_2024-01-01.tar.gz -C /tmp/restore_test
ls /tmp/restore_test | head

五、排错与常见问题处理
- auditd 无法启动

# 检查规则语法
sudo auditctl -t
# 查看日志
sudo journalctl -u auditd -n 50

证据不完整（日志缺失）

# 检查磁盘空间与权限
df -h /var/log
ls -l /var/log/audit

基线误报

# 更新基线前先确认变更审批
sudo sha256sum /etc/ssh/sshd_config /etc/sudoers > /opt/audit/baseline.hash

六、整改闭环与复核（示例工单状态流转）

七、练习（动手验证）
1. 安装并启用 auditd，新增监控 /etc/ssh/sshd_config 规则，修改配置后使用 ausearch 查出记录。
2. 生成基线哈希并修改 /etc/sudoers，验证 sha256sum -c 能检测漂移。
3. 编写一个简单审批校验脚本，在无审批时返回非零退出码，模拟 CI/CD 阻断。
4. 做一次备份解压恢复演练，记录恢复耗时并与 RTO 目标对比。

通过统一审计规范、自动化证据采集、整改工单闭环与复核机制，可将合规从“检查点”转化为“可持续流程”，形成可量化、可追溯、可改进的运维治理体系。