Auditd

Auditd Web UI वहाँ जहाँ ausearch काम कठिन बनाता है

Linux का ऑडिट डीमन ठीक वही दर्ज करता है जो आप उससे कहें, उससे अधिक कुछ नहीं, और यही उसे सर्वर का सबसे सटीक औज़ार और पूछताछ के लिए सबसे असुविधाजनक औज़ार बनाता है। ausearch और aureport काम करते हैं, पर मान लेते हैं कि आप पहले से जानते हैं कि क्या ढूँढ़ रहे हैं और वह विकल्प याद है जो उसे खोजता है।

यह पन्ना इस समय लदे ऑडिट नियम, निगरानी में रखे पथ और सिस्टम कॉल, तथा नवीनतम घटनाएँ उनके प्रकार, ज़िम्मेदार प्रक्रिया और परिणाम के साथ दिखाता है। लदे नियम देखना उतना ही भारी पड़ता है जितना घटनाएँ देखना: खाली नियम-समुच्चय वह सबसे आम कारण है जिसके चलते auditd चलता दिखता है पर मूल्यवान कुछ दर्ज नहीं करता।

एक उचित आरंभिक समुच्चय परिवर्तनों के लिए /etc/passwd और /etc/shadow पर, संपादनों के लिए /etc/ssh/sshd_config पर, और विशेषाधिकार बढ़ाने वाली बाइनरियों के चलने पर नज़र रखता है। ये चार वे निशान ढँकते हैं जो घुसपैठें प्रायः छोड़ती हैं, और लॉग को रोज़मर्रा के काम के शोर तले नहीं दबातीं।