auditでファイルやコマンドのログを取得 †
audit.log †
- デフォルトでは auditd自体がaudit.logのrotateを行う。
- rotate時にaudit.logのownerの変更にすこし時間がかかる。そのためaudit.logをtd-agent等で監視していると「Permission denied」が出る事がある。
- 対策1: td-agent側でsource設定で「loglevel fatal」にする。
- 対策2: audit側の設定を変更して、rsyslog > log file > logrotateのように扱う
ausearch †
- オプション
- -m, --message: ALL, SYSCALL等のメッセージタイプ
- -k, --key: 特定のキーを指定
- -i, --interpret: 日付、システムコール名、exit番号を分かりやすく表示してくれる
- --input-logs: cronからausearch実行時に必要
コマンドのログを記録する †
ファイルへのアクセスを記録する †
auditdデーモンを利用する。
|
|
![[PukiWiki]](image/owl.png "[PukiWiki]")
