Configuratie van auditregel wordt niet weergegeven – Problemen oplossen?

We hebben nieuwe auditregels toegevoegd aan het configuratiebestand /etc/audit/rules.d/audit.rules zoals hieronder getoond:

# vi /etc/audit/rules.d/audit.rules
-a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
-a always,exit -F arch=b64 -S sethostname -S setdomainname -k system-locale

Maar deze configuraties worden niet weerspiegeld.

# auditctl -l
No rules

Opmerking: op CentOS/RHEL 6 is het configuratiebestand /etc/audit/audit.rules in plaats van /etc/audit/rules.d/audit.rules.

Oplossing

1. Het eerste dat u hier moet controleren, is de syntaxis van de regel en deze corrigeren als deze onjuist is. U kunt bijvoorbeeld de regel die u in het configuratiebestand hebt geconfigureerd handmatig uitvoeren. U zou de syntaxisfout op de opdrachtregel moeten zien wanneer u de opdracht uitvoert. Bijvoorbeeld:

# auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
Syscall name unknown: stime
The audit system is in immutable mode, no rule changes allowed

2. Corrigeer het regelargument "-S time" en start het systeem opnieuw op. De herstart is vereist om de onveranderlijke auditd-modus uit te schakelen.

3. Na het opnieuw opstarten wordt de hele auditregel weergegeven.

# auditctl -l
-a always,exit -F arch=x86_64 -S adjtimex,settimeofday,time,clock_settime -F key=time-change
-a always,exit -F arch=x86_64 -S sethostname,setdomainname -F key=system-locale

Als u de verkeerde syntaxis instelt in het /etc/audit/rules.d/audit.rules configuratiebestand, stopt auditd de regelregistratie. Dus alle regels na een onjuiste syntaxisregel zullen niet worden weergegeven.

Vandaag hebben we geleerd hoe onze ondersteuningstechnici problemen met de configuratie van controleregels oplossen.