Início / unix / Perguntas / 416921
Accepted
Cocowalla
Asked: 2018-01-14 13:53:29 +0800 CST

O aureport pode mostrar o caminho completo para os arquivos?

  • 772

Estou seguindo auditd.loge canalizando para ausearche, em seguida aureport, com o objetivo de obter um fluxo simples de arquivos modificados:

tail -f /var/log/audit/audit.log | ausearch -k my_key | aureport -f --success -i

Embora aureportpareça fazer o trabalho de correlacionar e combinar vários registros, não parece mesclar as 2 PATHlinhas que auditd logs para cada arquivo - por exemplo, se alguém executa comandos que especificam caminhos relativos (em vez de absolutos), aureportestá mostrando algo como:

File Report
===============================================
# date time file syscall success exe auid event
===============================================
1. 13/01/18 21:45:44 myfile open yes /usr/bin/touch user 6229
2. 13/01/18 21:45:46 myfile open yes /usr/bin/touch user 6230

Existe alguma maneira aureportde mostrar o caminho completo?

filenames audit

1 respostas

  1. Best Answer

    Você pode fazer ausearch -k my-key --format textou ausearch -k delete --format csv, sem canalizar para aureport. Você pode filtrar por datas de início e fim ( --start --end), uid ( --uid 123) e resultado ( --success yes|no)

    • 2

relate perguntas