- Права на файл и журнал службы не говорят, кто записал в файл, — это записывает auditd по правилу.
- Правило ставят
auditctl -w <путь> -p wa -k <ключ>, события читаютausearch -k <ключ> -i. - В событии
comm/exe— программа,uid— действующий пользователь,auid— кто вошёл (у службы с загрузкиunset),ppidведёт к службе. - Постоянное правило — строка в
/etc/audit/rules.d/*.rules, его загружаетaugenrules --load; оно переживает перезапуск auditd. - Строку в
/etc/hostsиз начала урока дописывала служба: событие аудита назвало программуsedи путь к ней, аppidпривёл к юниту, который её запускал.
Шаг 6 из 6 · итог · 3 мин
Итог
Есть неточность? Сообщить об ошибке в уроке