Интерактивная система просмотра системных руководств (man-ов)
auditd (8)
auditd (1) ( Solaris man: Команды и прикладные программы пользовательского уровня )
auditd (8) ( FreeBSD man: Команды системного администрирования )
>> auditd (8) ( Русские man: Команды системного администрирования )
auditd (8) ( Linux man: Команды системного администрирования )
ИМЯ
auditd - демон аудита Linux
СИНТАКСИС
auditd
[-f] [-l] [-n]
ОПИСАНИЕ
auditd - это прикладной компонент системы аудита Linux. Он ведёт протокол аудита на диске.
Для просмотра протоколов предназначены команды
ausearch
и
aureport.
Команда
auditctl
позволяет настраивать правила аудита.
Кроме того, при загрузке загружаются правила из файла /etc/audit.rules.
Некоторые параметры самого демона можно изменить в файле
auditd.conf.
ОПЦИИ
-f
не переходить в фоновый режим (для отладки). Сообщения программы будут направляться в стандартный вывод для ошибок (stderr), а не в файл.
-l
включить следование по символическим ссылкам при поиске конфигурационных файлов.
-n
не создавать дочерний процесс. Для запуска из inittab
СИГНАЛЫ
SIGHUP
перезагрузить конфигурацию - загрузить файл конфигурации с диска.
Если в файле не окажется синтаксических ошибок, внесенные в него изменения вступят в силу.
При этом в протокол будет добавлена запись о событии DAEMON_CONFIG.
В противном случае действия службы будут зависеть от параметров
space_left_action, admin_space_left_action, disk_full_action, disk_error_action файла auditd.conf.
SIGTERM
прекратить обработку событий аудита и завершить работу, о чём предварительно занести запись в протокол.
SIGUSR1
создать новый файл для протокола, перенумеровав старые файлы или удалив часть из них, в зависимости от параметра max_log_size_action.
ФАЙЛЫ
/etc/audit/auditd.conf
- файл конфигурации демона аудита
/etc/audit/audit.rules
- правила аудита (загружается при запуске службы)
ПРИМЕЧАНИЯ
Для того чтобы сделать возможным аудит всех процессов, запущенных до демона
аудита, добавьте в строку параметров ядра (в конфигурации загрузчика)
audit=1. В противном случае аудит некоторых процессов будет невозможен.
