Konfigurasi Peraturan Audit Tidak Tercermin - Cara menyelesaikan masalah

Kami telah menambahkan peraturan audit baru ke file konfigurasi /etc/audit/rules.d/audit.rules seperti yang ditunjukkan di bawah:

# vi /etc/audit/rules.d/audit.rules
-a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
-a always,exit -F arch=b64 -S sethostname -S setdomainname -k system-locale

Tetapi, konfigurasi ini tidak dapat dilihat.

# auditctl -l
No rules

Catatan: Pada CentOS / RHEL 6, fail konfigurasi adalah /etc/audit/audit.rules dan bukannya /etc/audit/rules.d/audit.rules.

Penyelesaian

1. Perkara pertama yang perlu diperiksa di sini ialah sintaks peraturan dan betulkan jika salah. Contohnya, anda boleh menjalankan peraturan yang telah anda konfigurasikan secara manual dalam fail konfigurasi. Anda harus melihat ralat sintaks pada baris arahan semasa anda menjalankan perintah. Sebagai contoh:

# auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
Syscall name unknown: stime
The audit system is in immutable mode, no rule changes allowed

2. Betulkan argumen peraturan “-S time” dan mulakan semula sistem. Mulakan semula diperlukan untuk mematikan mod auditd dan tidak berubah.

3. Pasang but semula, semua peraturan audit akan tercermin.

# auditctl -l
-a always,exit -F arch=x86_64 -S adjtimex,settimeofday,time,clock_settime -F key=time-change
-a always,exit -F arch=x86_64 -S sethostname,setdomainname -F key=system-locale

Sekiranya anda menetapkan sintaks yang salah dalam /etc/audit/rules.d/audit.rules file konfigurasi, auditd menghentikan pendaftaran peraturan. Jadi, semua peraturan selepas garis sintaks yang salah, tidak akan dapat dilihat.

Hari ini, kami telah mengetahui bagaimana Jurutera Sokongan kami menyelesaikan masalah konfigurasi peraturan audit.