Scroll to navigation

AUREPORT(8) Утилиты системного администрирования AUREPORT(8)

НАИМЕНОВАНИЕ

aureport - инструмент для генерации итоговых отчетов на основе журналов демона аудита

СИНОПСИС

aureport [опции]

ОПИСАНИЕ

aureport - это инструмент, который генерирует итоговые отчеты на основе журналов демона аудита. Утилита aureport также может принимать данные из стандартного потока ввода, если это необработанные данные журнала. В верхней части отчетов есть подписи к столбцам, которые помогают интерпретировать различные поля. За исключением основного сводного отчета, все отчеты содержат номер аудиторской проверки. Впоследствии вы можете найти полное описание события с помощью ausearch -a event number. Если вы получили несколько совпадений, вам может потребоваться указать время начала и окончания. Отчеты, созданные с помощью aureport, можно использовать как основу для более сложного анализа.

ОПЦИИ

Отчет о всех попытках аутентификации
Отчет о всех avc сообщениях
Отчет о выполнении команд
Отчет об изменениях конфигурации
Отчет о событиях, связанных с шифрованием
Выводить на стандартный вывод ошибок stderr неправильно сформированные события, которые были пропущены.
При использовании с отчетами о конфигурации, целостности или MAC-адресах указывать только операции удаления.
Установить время ожидания до завершения анализа события. Подробнее смотрите end_of_event_timeout в странице руководства auditd.conf(5) . Примечание. Установка этого значения переопределит любое настроенное значение в /etc/auditd/auditd.conf.
Отчет о событиях
При использовании с отчетами о конфигурации, целостности или MAC-адресах указывать только операции добавления или создания.
Эта опция определяет, будет ли экранирован вывод, чтобы сделать его более безопасным для определенных целей. Доступны следующие опции: raw , tty , shell и shell_quote. Каждый последующий режим включает в себя символы предыдущего режима и экранирует дополнительные символы. То есть shell включает в себя все символы, экранирования tty и добавляет еще. tty используется по умолчанию.
Отчет о файлах и сокетах af_unix
Для обработки в отчетах выбирать только неудачные события. По умолчанию показываются как удачные, так и неудачные события.
Отчет о хостах
Вывести краткое описание команды
Преобразовывать числовые сущности в текст. Например, uid преобразуется в название учетной записи. Преобразование выполняется с использованием текущих ресурсов компьютера, на котором выполняется поиск. Если вы переименовали учетные записи или на вашем компьютере нет таких учетных записей, результаты могут быть некорректными.
Использовать указанные файлы file или каталоги directory вместо журналов. Это поможет при анализе случаев, когда журналы были перенесены на другой компьютер или сохранена только часть журнала. Длина пути ограничена 4064 байтами.
Использовать местоположение файла журнала из auditd.conf как входные данные для анализа. Применяется при использовании aureport в задании cron.
Отчет о событиях целостности
Отчет о ключевых словах в правилах
Отчет о попытках входа в систему
Отчет об изменениях пользовательских учетных записей
Отчет о событиях мандатного управление доступом (MAC)
Отчет об аномальных событиях. Эти события включают переход сетевой карты в беспорядочный режим и ошибки сегментации.
Для обработки в отчетах выбрать только события из строки "именование узла" node name. По умолчанию включены все узлы. Допускается использование нескольких узлов.
Не включать событие CONFIG_CHANGE. Это особенно полезно для ключевого отчета, поскольку правила аудита во многих случаях имеют ключевые метки. Использование этой опции избавляет от ложных срабатываний.
Отчет о процессах
Отчет о реакциях на аномальные события
Отчеты о системных вызовах
Для обработки в отчетах выбирать только удачные события. По умолчанию показываются как удачные, так и неудачные события.
Генерировать итоговый отчет, который дает информацию только о количестве элементов в том или ином отчете. Такой режим есть не у всех отчетов.
Эта опция генерирует отчет о временных рамках каждого отчета.
Отчеты о нажатиях клавиш
Поиск событий с отметками времени, равными или предшествующими заданному времени окончания. Формат времени окончания зависит от вашей локали. Если дата не указана, то предполагается, что это "сегодня" - today. Если время не указано, предполагается, что это "сейчас" - now. Для указания времени используйте 24-часовой формат, а не до полу суток AM или после полу суток PM. Пример даты для локали en_US.utf8: 09/03/2009. Пример времени: 18:00:00. Формат даты зависит от переменной окружения LC_TIME.

Также допускается использовать следующие слова: now, recent, this-hour, boot, today, yesterday, this-week, week-ago, this-month, this-year. Now - сейчас. Recent - 10 минут назад. Boot - время за секунду до того, когда система загружалась в последний раз. Today - первая секунда после полуночи текущего дня. Yesterday - первая секунда после полуночи предыдущего дня. This-week - первая секунда после полуночи первого дня текущей недели, первый день недели определяется из ваших региональных настроек (смотрите localtime). Week-ago - первая секунда после полуночи ровно 7 дней назад. This-month - первая секунда после полуночи первого числа текущего месяца. This-year - первая секунда после полуночи первого числа первого месяца текущего года.

Отчет о терминалах
Поиск событий с отметками времени, равными или более поздними, чем указанное время окончания. Формат времени окончания зависит от локали. Если дата не указана, предполагается, что это today. Если время не указано, предполагается, что это "полночь" - midnight. Для указания времени используйте 24-часовой формат, а не до полу суток AM или после полу суток PM. Пример даты для локали en_US.utf8: 09/03/2009. Пример времени: 18:00:00. Формат даты зависит от переменной среды LC_TIME.

Также допускается использовать следующие слова: now, recent, boot, today, yesterday, this-week, week-ago, this-month, this-year. Now - сейчас. Recent - 10 минут назад. Boot - время за секунду до того, когда система загружалась в последний раз. Today - первая секунда после полуночи текущего дня. Yesterday - первая секунда после полуночи предыдущего дня. This-week - первая секунда после полуночи первого дня текущей недели, первый день недели определяется из вашей локали (смотрите localtime). Week-ago - первая секунда после полуночи ровно 7 дней назад. This-month - первая секунда после полуночи первого числа текущего месяца. This-year - первая секунда после полуночи первого числа первого месяца текущего года.

Отчет о пользователях
Вывести версию программы и выйти
Отчет о мероприятиях по виртуализации
Отчет об исполняемых объектах

ПРИМЕЧАНИЕ

Опция "время загрузки" boot time — это вспомогательная функция, которая имеет свои ограничения. Время, которое она вычисляет, основано на текущем времени за вычетом /proc/uptime. Если после загрузки системные часы были скорректированы, например с помощью ntp, то расчет может быть неверным. В этом случае вам нужно будет указать время полностью. Вы можете проверить, какое время будет использоваться, выполнив команду:

date -d "`cut -f1 -d. /proc/uptime` seconds ago"

СМОТРИТЕ ТАКЖЕ

ausearch(8), auditd(8), auditd.conf(5).

ПЕРЕВОД

Русский перевод этой страницы руководства разработал(и) Alexander Kolotov <alexandr.kolotov@gmail.com>, Елена Мишина <lepata@altlinux.org> и Aleksandr Felda <afelda@ro.ru>

Этот перевод является свободной программной документацией; он распространяется на условиях общедоступной лицензии GNU (GNU General Public License - GPL, https://www.gnu.org/licenses/gpl-3.0.html версии 3 или более поздней) в отношении авторского права, но БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ.

Если вы обнаружите какие-либо ошибки в переводе этой страницы руководства, пожалуйста, сообщите об этом разработчику(ам) по его(их) адресу(ам) электронной почты или по адресу списка рассылки русских переводчиков.

март 2026 г. Red Hat