auditd

‏Auditd Web UI حيث يجعل ausearch العمل شاقاً

يسجّل عفريت التدقيق في Linux ما تطلبه منه بالضبط ولا شيء سواه، وهذا يجعله أدق أداة على الخادم وأثقلها في الاستعلام. يعمل ausearch وaureport، لكنهما يفترضان أنك تعرف مسبقاً ما تبحث عنه وتتذكر الخيار الذي يجده.

تعرض هذه الصفحة قواعد التدقيق المحمّلة في هذه اللحظة، والمسارات ونداءات النظام المراقَبة، وأحدث الأحداث مع نوعها والعملية المسؤولة والنتيجة. رؤية القواعد المحمّلة تزن بقدر رؤية الأحداث: مجموعة قواعد فارغة هي السبب الأكثر شيوعاً لأن يبدو auditd عاملاً من دون أن يسجل شيئاً ذا قيمة.

مجموعة ابتدائية معقولة تراقب /etc/passwd و/etc/shadow بحثاً عن التغييرات، و/etc/ssh/sshd_config بحثاً عن التعديلات، وتنفيذ الملفات الثنائية الخاصة برفع الصلاحيات. هذه الأربع تغطي الآثار التي تتركها الاختراقات عادةً، من دون دفن السجل تحت ضجيج العمل اليومي.