Auditd - regra auditctl para monitorar somente o diretório dir (não todos os subdiretórios e arquivos, etc.)

Question

Estou tentando usar auditd para monitorar as alterações em um diretório. O problema é que quando eu configuro uma regra, monitora o diretório que eu especifiquei, mas também todos os subdiretórios e arquivos abaixo dele, tornando o monitoramento inútil devido à verbosidade infinita.

Veja como eu configurei a regra:

auditctl -w /home/raven/public_html -p war -k raven-pubhtmlwatch

Quando pesquiso os registros usando

ausearch -k raven-pubhtmlwatch

Eu recebo milhares de linhas dos logs que listam tudo em public_html .

Como posso limitar a regra a alterações no diretório especificado apenas?

    

Answer 1

O crédito vai para Steve @ redhat, que respondeu à minha pergunta no linux-audit

A watch is really a syscall rule in disguise. If you place a watch on a directory, auditctl will turn it into:

-a exit,always -F dir=/home/raven/public_html -F perm=war -F key=raven-pubhtmlwatch

The -F dir field is recursive. However, if you just want to watch the directory entries, you can change that to -F path.

-a exit,always -F path=/home/raven/public_html -F perm=war -F key=raven-pubhtmlwatch

This is not recursive and just watches the inode that the directory occupies.

Eu tive que adicionar a regra manualmente em /etc/audit/audit.rules e depois reiniciar auditd com

/etc/init.d/auditd restart

agora as regras são adicionadas e funciona muito bem!

    

Answer 2

O Ubuntu 12.04 não parece se comportar da mesma maneira com os objetos do sistema. Tente colocar este relógio em / etc ou / usr / lib (em outro post, parece haver problemas ao tentar assistir a diretórios de nível superior). Em seguida, crie algo em um desses diretórios e nada será exibido em audit.log com a palavra-chave. Esses itens estão relacionados ao teste do PCI DSS 3.1 10.2.7.