Har noen brukt, eller sette opp auditd?

Jeg vil bruke den til å granske viktige systemfiler.

Vil dette være vanskelig, hvordan vil jeg begynne å sette opp dette?

Everytime I do

Auditctl-l

Jeg får

linux101: / etc # auditctl-l
Ingen regler
Filsystemet klokker støttes ikke

Her er min audit.rules

linux101: / etc # cat audit.rules
# Denne filen inneholder auditctl regler som lastes
# Når tilsynet demonen startes via initscripts.
# Reglene er ganske enkelt parametere som vil bli overlevert
# Å auditctl.

# Første regel - slette alle
-D

# Gjerne legge under denne linjen. Se auditctl man-siden

# Øk bufferne å overleve stress hendelser
-b 256



Her er min auditd.conf




LXT-sles101: / etc # cat auditd.conf
#
# Denne filen kontrollerer konfigurasjonen av tilsynet demonen
#

log_file \u003d / var / log / tilsyn / audit.log
log_format \u003d RAW
priority_boost \u003d 3
flush \u003d INCREMENTAL
freq \u003d 20
num_logs \u003d 4
# dispatcher \u003d / usr / sbin / audispd
max_log_file \u003d 5
max_log_file_action \u003d Roter
space_left \u003d 75
space_left_action \u003d SYSLOG
action_mail_acct \u003d rot
admin_space_left \u003d 50
admin_space_left_action \u003d AVBRYTE
disk_full_action \u003d AVBRYTE
disk_error_action \u003d AVBRYTE


Hva gjør jeg galt? .

1. Prøv å legge denne til audit.conf:
disp_qos - lossy

2. Restart auditd.

Det er en auditd post-liste med masse god info: Linux-tilsynet Info Page

lykke til!

Rich