Как установить auditd на CentOS 6.4 x64? Я хочу регистрировать все команды, выполняемые администраторами Регистрируйте все команды, выполняемые администраторами на производственных серверах Изменить: я не могу запустить службу aduditd
Я сделал с этим уроком введите описание ссылки здесь
sudo yum install audit
sudo chkconfig auditd on
Добавил эти 2 строчки в /etc/audit/audit.rules
-a exit,always -F arch=b64 -F euid=0 -S execve
-a exit,always -F arch=b32 -F euid=0 -S execve
Я выполнил несколько команд, но нет каталога auditd для входа в / var / log /
Теперь auditd не работает, я не могу запустить службу. В журнале сообщений я получаю это
Sep 7 18:05:40 vesoljedomen auditd[6777]: Started dispatcher: /sbin/audispd pid: 6779
Sep 7 18:05:40 vesoljedomen audispd: No plugins found, exiting
Sep 7 18:05:40 vesoljedomen auditd[6777]: Unable to set audit pid, exiting
Sep 7 18:05:40 vesoljedomen auditd: Cannot daemonize (Success)
Sep 7 18:05:40 vesoljedomen auditd: The audit daemon is exiting.
Sep 7 18:05:40 vesoljedomen auditd[6777]: The audit daemon is exiting.
Sep 7 18:05:47 vesoljedomen auditd[6791]: Started dispatcher: /sbin/audispd pid: 6793
Sep 7 18:05:47 vesoljedomen audispd: No plugins found, exiting
Sep 7 18:05:47 vesoljedomen auditd[6791]: Unable to set audit pid, exiting
Sep 7 18:05:47 vesoljedomen auditd: Cannot daemonize (Success)
Sep 7 18:05:47 vesoljedomen auditd: The audit daemon is exiting.
Sep 7 18:05:47 vesoljedomen auditd[6791]: The audit daemon is exiting.
Sep 7 18:06:01 vesoljedomen auditd[6924]: Started dispatcher: /sbin/audispd pid: 6926
Sep 7 18:06:01 vesoljedomen audispd: No plugins found, exiting
Sep 7 18:06:01 vesoljedomen auditd[6924]: Unable to set audit pid, exiting
Sep 7 18:06:01 vesoljedomen auditd: Cannot daemonize (Success)
Sep 7 18:06:01 vesoljedomen auditd: The audit daemon is exiting.
Sep 7 18:06:01 vesoljedomen auditd[6924]: The audit daemon is exiting.
-bash-4.1# -bash-4.1# chkconfig --list | grep auditd
-bash: -bash-4.1#: command not found
-bash-4.1# auditd 0:off 1:off 2:on 3:on 4:on 5:on 6:off
Usage: auditd [-f] [-l] [-n] [-s disable|enable|nochange]
-bash-4.1# -bash-4.1# service auditd status
-bash: -bash-4.1#: command not found
-bash-4.1# service auditd start
-bash-4.1# auditd is stopped
Справочник называется /var/log/audit/ не /var/log/auditd/
Если отсутствует, значит, кто-то удалил этот каталог, запустите sudo yum reinstall audit воссоздать это.
audit установлен по умолчанию и работает, в любом случае запустите sudo service auditd start
Примечание:
Я хочу регистрировать все команды, выполняемые администраторами. Регистрировать все команды, выполняемые администраторами на производственных серверах.
auditd не всегда поможет вам в этом, он не может регистрировать все, особенно когда журналы хранятся на одном компьютере.