Правило от auditctl живёт до перезапуска auditd: при старте служба читает правила заново и твою команду не вспомнит.
Постоянные правила держат в файлах *.rules в /etc/audit/rules.d/. Строка в файле — те же ключи, что у auditctl, но без auditctl:
При старте auditd правила собирает augenrules: она склеивает файлы из rules.d в общий набор и загружает. Применить файлы сразу, без перезапуска, — sudo augenrules --load; sudo auditctl -l покажет, что правило на месте. После этого правило переживёт и перезапуск службы, и перезагрузку.
Поймай, кто читает ключ
Ключ /etc/shop/payment.key кто-то читает. Поставь на него постоянное наблюдение за чтением с меткой paykey так, чтобы правило переживало перезапуск auditd (файл в /etc/audit/rules.d), и загрузи его. Через несколько секунд ausearch по метке paykey должен показать чтение ключа.
Цели · 0 из 2
- Записать постоянное правило на чтение ключа и загрузить его ещё не выполнена
- Убедиться, что правило ловит чтение ключа ещё не выполнена