правило аудита

Строка для auditd: за каким файлом или системным вызовом следить и с каким ключом записывать событие — auditctl -w /etc/hosts -p wa -k hosts. Постоянные правила — в /etc/audit/rules.d, поиск — ausearch -k.