Auditd - auditctl规则仅监视dir(不是所有子目录和文件等..)

时间:2013-09-26 15:05:54

标签: linux shell monitoring audit

我正在尝试使用auditd来监控对目录的更改。 问题在于,当我设置规则时,它会监视我指定的目录,但是由于无穷无尽的冗长,所有子目录和文件使得监视器无用。

以下是我设置的规则:

auditctl -w /home/raven/public_html -p war -k raven-pubhtmlwatch

当我使用

搜索日志时
ausearch -k raven-pubhtmlwatch

我获得了数千行日志,列出了public_html /

下的所有内容

如何将规则限制为仅指定目录的更改?

非常感谢。

1 个答案:

答案 0 :(得分:12)

手表实际上是伪装的系统调用规则。如果你把手表放在上面 目录,auditctl将把它变成:

-a exit,always  -F dir=/home/raven/public_html -F perm=war -F key=raven-pubhtmlwatch

-F dir字段是递归的。但是,如果您只想查看目录 条目,您可以将其更改为-F路径。

-a exit,always  -F path=/home/raven/public_html -F perm=war -F key=raven-pubhtmlwatch

这不是递归的,只是观察目录占用的inode。

我必须手动添加规则: /etc/audit/audit.rules

然后使用

重新启动auditd
/etc/init.d/auditd restart

现在添加了规则并且效果很好! 所有的功劳都归功于Steve @ redhat,他在审核邮件列表中回答了我的问题: https://www.redhat.com/archives/linux-audit/2013-September/msg00057.html