AuditD— LinuxForum.Fans

14.04.2014 09:52 #376427

Добрй день, кто работал с auditD ? каким образом я могу отправлять логи на другой сервер? или хотябы оповещение на почту если что то изменилось и так далее ?

15.04.2014 01:52 #376607

auditd - это прикладной компонент системы аудита Linux. Он ведёт протокол аудита на диске. Для просмотра протоколов предназначены команды ausearch и aureport. Команда auditctl позволяет настраивать правила аудита. Кроме того, при загрузке загружаются правила из файла /etc/audit.rules. Некоторые параметры самого демона можно изменить в файле auditd.conf.

Про то как с ней работать можно прочесть тут:
http://val-khmyrov.blogspot.ru/2013/06/linux.html
http://habrahabr.ru/post/111968/

Так же много написано про аудит, в том числе и визуализация отчетов, в руководстве
SUSE Linux Enterprise Server 11 SP3 Security Guide

Используйте поиск по ключевым словам.

action_mail_acct = root

- единственное что есть в конфигах это эта строка... но как она себя поведет при изменении на актуальный email непонятно.
Я бы просто отправлял лог по расписанию на файловый сервер, либо по email.
Если все работает, то он должен быть тут примерно: /var/log/audit/audit.log

15.04.2014 06:43 #376614

это я все читал и аудитD сконфигил. та строка без сендмэйла работать не будет. и что будет отправляться на почту непонятно. мало вероятно что логи

15.04.2014 08:02 #376617

"mozgfx" написал:
Я бы просто отправлял лог по расписанию на файловый сервер, либо по email.

зачем для этого auditd?

"bitmaster" написал:
та строка без сендмэйла работать не будет.

вы опять угадали, К.О.

"bitmaster" написал:
и что будет отправляться на почту непонятно. мало вероятно что логи

аудит, сэр.

И да, судя по вашим вопросам очевидно, что аудит вам не нужен.

да, про сам термин: http://ru.wikipedia.org/wiki/%D0%90%D1%83%D0%B4%D0%B8%D1%82

15.04.2014 08:58 #376620

drBatty написал:

[quote="bitmaster"]и что будет отправляться на почту непонятно. мало вероятно что логи

аудит, сэр.
[/quote]

эм но у вас есть пример того что отправляет деймон auditD ? я лично в интернете про это ничего не нашел. а аудит d мне нужен

15.04.2014 09:20 #376624

"bitmaster" написал:
эм но у вас есть пример того что отправляет деймон auditD ? я лично в интернете про это ничего не нашел. а аудит d мне нужен

странно, что вы не нашли хвойных деревьев в лесу. У вас какой-то неправильный лес. У меня тут ёлки, сосны, и прочие непонятные пихты. Ну вот из SLES например:

Показать

aureport

Summary Report
======================
Range of time in logs: 03/02/09 14:13:38.225 - 17/02/09 16:30:10.352
Selected time for report: 03/02/09 14:13:38 - 17/02/09 16:30:10.352
Number of changes in configuration: 24
Number of changes to accounts, groups, or roles: 0
Number of logins: 9
Number of failed logins: 15
Number of authentications: 19
Number of failed authentications: 578
Number of users: 3
Number of terminals: 15
Number of host names: 4
Number of executables: 20
Number of files: 279
Number of AVC's: 0
Number of MAC events: 0
Number of failed syscalls: 994
Number of anomaly events: 0
Number of responses to anomaly events: 0
Number of crypto events: 0
Number of keys: 2
Number of process IDs: 1238
Number of events: 5435

http://doc.opensuse.org/products/draft/SLES/SLES-security_sd_draft/cha.audit.setup.html#sec.audit.aurepo

читать лучше отсюда: http://doc.opensuse.org/products/draft/SLES/SLES-security_sd_draft/cha.audit.comp.html