Auditd

Auditd Web UI di tempat ausearch membuat pekerjaan berat

Daemon audit Linux mencatat persis apa yang Anda minta dan tidak lebih, dan itulah yang menjadikannya perkakas paling saksama di server sekaligus yang paling tidak nyaman untuk ditanyai. ausearch dan aureport berfungsi, tetapi mengandaikan Anda sudah tahu apa yang dicari dan masih ingat opsi yang menemukannya.

Halaman ini menampilkan aturan audit yang termuat saat ini, jalur dan panggilan sistem yang dipantau, serta peristiwa terbaru lengkap dengan jenis, proses yang bertanggung jawab dan hasilnya. Melihat aturan yang termuat sama beratnya dengan melihat peristiwanya: kumpulan aturan yang kosong adalah alasan paling umum mengapa auditd tampak berjalan tanpa mencatat sesuatu yang berharga.

Kumpulan awal yang masuk akal memantau /etc/passwd dan /etc/shadow untuk perubahan, /etc/ssh/sshd_config untuk penyuntingan, serta eksekusi berkas biner peningkat hak akses. Keempatnya menutup jejak yang biasanya ditinggalkan penyusupan, tanpa mengubur log di bawah derau pekerjaan sehari-hari.