НАИМЕНОВАНИЕ¶

auditd - демон аудита Linux

СИНОПСИС¶

auditd [-f] [-l] [-n] [-s disable|enable|nochange] [-c <config_dir>]

ОПИСАНИЕ¶

auditd - это компонент пространства пользователя системы аудита Linux. Он отвечает за запись аудиторских записей на диск. Просмотреть журналы можно с помощью утилит ausearch или aureport Настройка системы аудита или загрузка правил выполняется с помощью утилиты auditctl. При запуске правила из файла /etc/audit/audit.rules считываются auditctl и загружаются в ядро. Альтернативно, может использоваться программа augenrules, которая считывает правила, расположенные в файле /etc/audit/rules.d/ и компилирует их в файл audit.rules. У самого демона аудита есть некоторые опции конфигурации, которые администратор, возможно, пожелает настроить. Они находятся в файле auditd.conf.

ОПЦИИ¶

-f

оставить демон аудита на переднем плане для отладки. Сообщения, при этом, отправляются на стандартный вывод, а не в журнал аудита.

-l

разрешить демону аудита переходить по символическим ссылкам на конфигурационные файлы.

-n

не создавать дочерний процесс. Для запуска из inittab или systemd.

-s=ENABLE_STATE

указать, должен ли демон auditd при старте изменять текущее значение флажка ядра - enabled. Допустимые значения ENABLE_STATE: "disable", "enable" или "nochange". Значение по умолчанию: enable (и disable когда auditd остановлен). Значение флажка может быть изменено во время работы auditd с помощью "auditctl -e".

-c

Указать альтернативный каталог конфигурационного файла (по умолчанию: /etc/audit/). Обратите внимание, что этот же каталог будет передан диспетчеру; (по умолчанию: /etc/audit/)

СИГНАЛЫ¶

SIGHUP

программа auditd выполняет повторную настройку. Это означает, что программа auditd повторно считывает файл конфигурации. Если синтаксических ошибок нет, она приступит к выполнению запрошенных изменений. Если перенастройка прошла успешно, в журналы заносится событие DAEMON_CONFIG. В случае неудачи обработка ошибок управляется параметрами space_left_action, admin_space_left_action, disk_full_action и disk_error_action в файле auditd.conf.

SIGTERM

это приведёт к тому, что программа auditd прекратит обработку событий аудита, запишет событие "завершение работы аудита" и завершит работу.

SIGUSR1

программа auditd немедленно сменит журналы. Она обратится к max_log_file_action, чтобы узнать, следует ли сохранять журналы или нет.

SIGUSR2

приводёт к тому, что auditd пытается возобновить ведение журнала и передачу событий плагинам.Обычно это требуется после приостановки ведения журнала или переполнения внутренней очереди. Любое из этих условий зависит от применённых настроек.

SIGCONT

приводёт к тому, что auditd отправляет отчет о внутреннем состоянии в файл /run/audit/auditd.state.

КОДЫ ВЫХОДА¶

1

Не удается настроить приоритет, выполнить демонизацию, открыть сетевую ссылку аудита, записать файл pid, запустить плагины, разрешить название компьютера, установить pid аудита или выполнить другие задачи инициализации.

2

Недопустимые или избыточные аргументы командной строки

4

Вызывающий процесс не имеет требуемых привилегий

6

Конфигурационный файл содержит ошибки

ФАЙЛЫ¶

/etc/audit/auditd.conf - файл конфигурации демона аудита

/etc/audit/audit.rules - правила аудита (загружается при запуске службы)

/etc/audit/rules.d/ - каталог, содержащий отдельные наборы правил, которые будут скомпилированы в один файл утилитой augenrules.

/etc/audit/rules.d/ - каталог, содержащий индивидуальные файлы конфигурации плагина.

/etc/audit/audit.rules - Эти правила загружаются при остановке демона аудита.

/run/audit/auditd.state - отчет о внутреннем состоянии.

ПРИМЕЧАНИЯ¶

Следует добавить параметр загрузки audit=1, чтобы гарантировать, что все процессы, запущенные до запуска демона аудита, помечены ядром как доступные для проверки. Невыполнение этого требования сделает невозможным надлежащий аудит некоторых процессов.

Демон аудита может получать события аудита от других демонов аудита через плагин audispd: audisp-remote. Демон аудита может быть связан с tcp_wrappers, чтобы контролировать, какие машины могут подключаться. В этом случае можно добавить запись в hosts.allow и отказать в соединении.

СМОТРИТЕ ТАКЖЕ¶

auditd.conf(5), auditd-plugins(5), ausearch(8), aureport(8), auditctl(8), augenrules(8), audit.rules(7).

АВТОР¶

Steve Grubb

ПЕРЕВОД¶

Русский перевод этой страницы руководства разработал(и) Николай Шафоростов <shafff@ukr.net>, Елена Мишина <lepata@altlinux.org> и Aleksandr Felda <afelda@ro.ru>

Этот перевод является свободной программной документацией; он распространяется на условиях общедоступной лицензии GNU (GNU General Public License - GPL, https://www.gnu.org/licenses/gpl-3.0.html версии 3 или более поздней) в отношении авторского права, но БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ.

Если вы обнаружите какие-либо ошибки в переводе этой страницы руководства, пожалуйста, сообщите об этом разработчику(ам) по его(их) адресу(ам) электронной почты или по адресу списка рассылки русских переводчиков.