К статье

auditd — аудит безопасности

шпаргалка · Ubuntu 24.04 · auditd https://lab.dimsanych.ru/ru/wiki/auditd/

Шпаргалка

sudo auditctl -w /etc/passwd -p wa -k passwd_changes watch файла
sudo auditctl -a always,exit -F arch=b64 -S execve -F euid=0 -k root_cmd
sudo auditctl -l текущие правила
sudo auditctl -s статус подсистемы
sudo ausearch -k passwd_changes -i по ключу, читаемо
sudo aureport --summary
постоянно: /etc/audit/rules.d/*.rules → augenrules --load