Auditd

En Auditd Web UI hvor ausearch gør arbejdet tungt

Linux-revisionsdæmonen registrerer nøjagtigt det, du beder om, og intet mere, hvilket gør den til det mest præcise værktøj på serveren og det mest ubehagelige at udspørge. ausearch og aureport virker, men forudsætter, at du allerede ved, hvad du leder efter, og husker det flag, der finder det.

Denne side viser de revisionsregler, der er indlæst netop nu, de stier og systemkald der overvåges, samt de nyeste hændelser med type, ansvarlig proces og udfald. At se de indlæste regler tæller lige så meget som at se hændelserne: et tomt regelsæt er den hyppigste grund til, at auditd ser ud til at køre uden at registrere noget af værdi.

Et fornuftigt startsæt overvåger /etc/passwd og /etc/shadow for ændringer, /etc/ssh/sshd_config for redigeringer, og kørsel af binærfiler til rettighedsforøgelse. De fire dækker de spor, indbrud plejer at efterlade, uden at begrave loggen i støj fra almindeligt arbejde.