Configuração de regra de auditoria não refletida - como solucionar problemas

Adicionamos novas regras de auditoria ao arquivo de configuração /etc/audit/rules.d/audit.rules conforme mostrado abaixo:

# vi /etc/audit/rules.d/audit.rules
-a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
-a always,exit -F arch=b64 -S sethostname -S setdomainname -k system-locale

Mas, essas configurações não se refletem.

# auditctl -l
No rules

Nota: No CentOS / RHEL 6, o arquivo de configuração é /etc/audit/audit.rules em vez de /etc/audit/rules.d/audit.rules.

Solução

1. A primeira coisa a verificar aqui é a sintaxe da regra e corrija se estiver errada. Por exemplo, você pode executar manualmente a regra que configurou no arquivo de configuração. Você deve ver o erro de sintaxe na linha de comando ao executar o comando. Por exemplo:

# auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
Syscall name unknown: stime
The audit system is in immutable mode, no rule changes allowed

2. Corrija o argumento da regra “-S time” e reinicie o sistema. A reinicialização é necessária para desativar o modo imutável auditd.

3. Após a reinicialização, todas as regras de auditoria serão refletidas.

# auditctl -l
-a always,exit -F arch=x86_64 -S adjtimex,settimeofday,time,clock_settime -F key=time-change
-a always,exit -F arch=x86_64 -S sethostname,setdomainname -F key=system-locale

Se você definir a sintaxe incorreta no arquivo de configuração /etc/audit/rules.d/audit.rules, o auditd interrompe o registro da regra. Portanto, todas as regras após a linha de sintaxe incorreta não serão refletidas.

Hoje, aprendemos como nossos engenheiros de suporte solucionam problemas de configuração de regras de auditoria.