auditd

‏Auditd Web UI آنجا که ausearch کار را دشوار می‌کند

شبح ممیزی Linux دقیقاً همان را ثبت می‌کند که از او می‌خواهید و نه بیشتر، و همین او را دقیق‌ترین ابزار سرور و ناخوشایندترین ابزار برای پرس‌وجو می‌کند. ‏ausearch و aureport کار می‌کنند، اما فرض را بر این می‌گذارند که از پیش می‌دانید دنبال چه هستید و گزینه‌ای را که آن را می‌یابد به یاد دارید.

این صفحه قواعد ممیزی بارگذاری‌شده در همین لحظه، مسیرها و فراخوان‌های سیستمی زیرنظر، و تازه‌ترین رویدادها را با نوع، فرایند مسئول و نتیجه نشان می‌دهد. دیدن قواعد بارگذاری‌شده به همان اندازهٔ دیدن رویدادها وزن دارد: مجموعهٔ خالی قواعد رایج‌ترین دلیل آن است که auditd فعال به نظر برسد بی‌آنکه چیز ارزشمندی ثبت کند.

یک مجموعهٔ آغازین معقول /etc/passwd و /etc/shadow را برای تغییرات، /etc/ssh/sshd_config را برای ویرایش‌ها، و اجرای دودویی‌های بالابردن دسترسی را زیر نظر می‌گیرد. این چهار، ردهایی را می‌پوشانند که نفوذها معمولاً بر جای می‌گذارند، بی‌آنکه گزارش را زیر همهمهٔ کار روزمره دفن کنند.