В /etc/hosts на этой машине раз в несколько секунд появляется строка, которую туда не вписывали. Кто её дописывает — по самому файлу не видно. Посмотри, как он меняется.
Посмотри, как меняется /etc/hosts
Посмотри последнюю строку /etc/hosts, удали строку с updates.lab.test, подожди несколько секунд и посмотри конец файла снова.
Сначала предположи
Ты удалил строку updates.lab.test из /etc/hosts. Что будет в конце файла через несколько секунд?
Теперь начни упражнение, выполни команду и сверь прогноз с выводом.
Строка в /etc/hosts возвращается после удаления, а кто её пишет — не видно. Почему по файлу этого не узнать?
-
Аудит записывает и действия root — после правила
ausearch -k hostsпокажет и событие от root. Дело не в пользователе, а в том, что правила ещё нет. -
Файл никто не открывал в редакторе — строка появляется сама. Её дописывает служба, и это покажет аудит.
-
Права на /etc/hosts обычные (644 root):
ls -l /etc/hosts. Имя того, кто писал, файл не хранит при любых правах.
Файл хранит только текст, а обращения к нему не записываются, пока не поставлено правило аудита.