Аудит файлов устройств с помощью Auditcl

Я пытаюсь увидеть, какие команды набраны в моем терминале и последовательном порту. Для этого я использую демон Audit, который помогает мне в аудите файлов.

Я думал о создании правил аудита в /dev/tty и /dev/ttyAMA0 для просмотра того, что происходит на терминальном и последовательном устройстве соответственно.

auditctl -w /dev/tty -p rwx -k terminal

auditctl -w /dev/ttyAMA0 -p rwx -k serialport

Но это записывает только эхо на tty. Я не могу проверить все команды, набранные на терминале. Я включил логирование tty в файле PAM, добавив session required pam_tty_audit.so enable=* в файле /etc/pam.d/sshd.

Есть ли другой способ сделать этот одитинг. Я хочу использовать только Audit Daemon, чтобы весь мой журнал аудита находился в одном файле.

Источник

1 ответ

Решение

auditctl -a exit,always -S execve сделал работу за меня. Но он создает слишком много журналов, чтобы понять, как удалить журналы, созданные фоновым процессом.

Источник
Другие вопросы по тегам