未反映審核規則配置 – 如何排除故障

我們在配置文件 /etc/audit/rules.d/audit.rules 中添加了新的審計規則，如下所示：

# vi /etc/audit/rules.d/audit.rules
-a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
-a always,exit -F arch=b64 -S sethostname -S setdomainname -k system-locale

但是，這些配置並沒有體現出來。

# auditctl -l
No rules

注意：在 CentOS/RHEL 6 上，配置文件是 /etc/audit/audit.rules 而不是 /etc/audit/rules.d/audit.rules。

解決方案

1.這里首先要檢查的是規則的語法，如果有錯誤就更正。例如，您可以手動運行您在配置文件中配置的規則。運行命令時，您應該會在命令行上看到語法錯誤。例如：

# auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -S stime -S clock_settime -k time-change
Syscall name unknown: stime
The audit system is in immutable mode, no rule changes allowed

2. 更正規則參數“-S time”並重新啟動系統。需要重新啟動以禁用 auditd 不可變模式。

3. 重啟後，所有的審計規則都會反映出來。

# auditctl -l
-a always,exit -F arch=x86_64 -S adjtimex,settimeofday,time,clock_settime -F key=time-change
-a always,exit -F arch=x86_64 -S sethostname,setdomainname -F key=system-locale

如果您在/etc/audit/rules.d/audit.rules 配置文件中設置了錯誤的語法，auditd 將停止規則註冊。因此，錯誤語法行之後的所有規則都不會反映。

今天，我們了解了我們的支持工程師如何對審核規則配置進行故障排除。