Início / unix / Perguntas / 507391
Accepted
fox18
Asked: 2019-03-21 02:22:49 +0800 CST

A ferramenta de auditoria não está funcionando no Kernel versão 3.12.14

  • 772

Estou recebendo o seguinte erro ao tentar iniciar o serviço auditd:

auditctl[2144]:Error - audit support not in kernel
auditctl[2144]:Cannot open netlink audit socket
auditctl[2144]:Started Security Auditing Service.
systemd[1]:auditd.service: main process exited, code=exited, status=1/FAILURE
systemd[1]:Unit auditd.service entered failed state.

Qual é o arquivo/módulo de configuração do kernel para a auditctlferramenta? Não tenho permissão para atualizar o kernel.

linux linux-audit

1 respostas

  1. Best Answer

    Isso significa que CONFIG_AUDITnão está definido em seu Kernel, e essa é uma tarefa que você não conseguirá sem alterar seu kernel ou pelo menos editar alguns parâmetros de inicialização.

    Você vai precisar:

    • Baixe um Kernel que tenha auditoria habilitada de seu provedor de distribuição ou compile seu Kernel com CONFIG_AUDIThabilitar se sua distribuição não fornecer tal kernel
    • Se o seu Kernel for compilado com CONFIG_AUDITenable (veja abaixo), adicione o parâmetro do kernel audit=1- Veja GRUB Quiet Splash . Este é o arquivo que você precisa editar.
      • Note que este foi apenas um exemplo. Se você estiver usando outro bootloader que não seja o GRUB, você precisará pesquisar em seus documentos como adicionar Opções do Kernel à sua entrada padrão do Kernel ou a todas elas. Como exemplo, systemd-boottenha o options=parâmetro para fazer esta tarefa e habilite-o para uma entrada.

    Como você pode verificar se o seu kernel atual tem esse recurso ativado:

    Em distribuições baseadas em Red Hat e Debian, normalmente dentro /boothá um arquivo de configuração chamado config, com o uname -ranexo (versão do kernel). Exemplo:

    [root@host ~]# grep CONFIG_AUDIT /boot/config-`uname -r`
CONFIG_AUDIT_ARCH=y
CONFIG_AUDIT=y
CONFIG_AUDITSYSCALL=y
CONFIG_AUDIT_WATCH=y
CONFIG_AUDIT_TREE=y

    Em distribuições compiladas com a CONFIG_IKCONFIGopção, você pode obter uma versão compactada do arquivo de configuração atual dentro de sua /procestrutura de diretório virtual carregando o configsmódulo do kernel. Exemplo:

    [root@host ~]# modprobe configs ; gunzip -dc /proc/config.gz | grep AUDIT
# CONFIG_AUDIT is not set
# CONFIG_AUDIT_ARCH_COMPAT_GENERIC is not set
    • 1

relate perguntas