監査ルールの構成が反映されていない–トラブルシューティングの方法

以下に示すように、構成ファイル/etc/audit/rules.d/audit.rulesに新しい監査ルールを追加しました。

# vi /etc/audit/rules.d/audit.rules
-a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
-a always,exit -F arch=b64 -S sethostname -S setdomainname -k system-locale

ただし、これらの構成は反映されません。

# auditctl -l
No rules

注：CentOS / RHEL 6では、構成ファイルは/etc/audit/rules.d/audit.rulesではなく/etc/audit/audit.rulesです。

解決

1.ここで最初に確認するのは、ルールの構文であり、間違っている場合は修正します。たとえば、構成ファイルで構成したルールを手動で実行できます。コマンドを実行すると、コマンドラインに構文エラーが表示されます。例えば：

# auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
Syscall name unknown: stime
The audit system is in immutable mode, no rule changes allowed

2.ルール引数「-Stime」を修正し、システムを再起動します。auditd不変モードを無効にするには、再起動が必要です。

3.再起動後、すべての監査ルールが反映されます。

# auditctl -l
-a always,exit -F arch=x86_64 -S adjtimex,settimeofday,time,clock_settime -F key=time-change
-a always,exit -F arch=x86_64 -S sethostname,setdomainname -F key=system-locale

/etc/audit/rules.d/audit.rules構成ファイルで誤った構文を設定した場合、auditdはルールの登録を停止します。したがって、構文行が正しくない場合のすべてのルールは反映されません。

今日は、サポートエンジニアが監査ルールの構成をトラブルシューティングする方法を学びました。