auditd não registra o chmod

Question

Eu corro o seguinte, com a ideia de que eu quero registrar qualquer alteração nas permissões do diretório home / username:

auditctl -w / home / username -p a

Então eu corro o seguinte:

tail -f /var/log/audit/audit.log

e vejo as alterações. Eu abro outro terminal, ssh em, e vejo o ssh no audit.log como isso acontece. Eu mudo para sudoer, vejo isso no audit.log. Quando fecho outra janela de terminal, vejo isso no audit.log.

No entanto, se eu fizer qualquer coisa para / home / username, não vejo nada. Eu chmod o diretório usando caminhos absolutos e relativos, nada acontece. Eu toco um novo arquivo em / home / username, nada acontece. Eu chmod esse arquivo, nada acontece.

Eu tentei tudo nos seguintes locais: Monitorar ou registrar as alterações de permissão do diretório? e link e link e até < href="https://access.redhat.com/solutions/10107"> link

e absolutamente nada parece funcionar. ausearch não revela nada e aureport não mostra dados. Eu usei cada uma das variações sobre o tema listado em cada uma das referências acima mencionadas, e não consigo fazer nada funcionar.

o que é estranho, é que eu posso fazer isso facilmente no Ubuntu (funciona bem), mas não na minha instância baseada em rhel (AWS Amazon Linux)

Eu estou perdido, alguém pode, por favor, passar alguns conselhos do meu jeito? Provavelmente estou sentindo falta de algo óbvio.

    

Answer 1

e embaraçosamente, depois de passar horas tentando descobrir a resposta esta manhã, eu descubro a resposta alguns minutos depois de postar isso.

As instâncias do Amazon Linux vêm com uma linha no arquivo /etc/audit/audit.rules que requer remoção / comentários para habilitar a auditoria: -a nunca, tarefa

Portanto, se você não comentar essa linha, mesmo que auditctl -l mostre a regra, ela não será registrada. A mesma linha está em /etc/audit/rules.d/audit.rules.default

trava a cabeça em vergonha

Vou deixar isso aqui caso outros usuários da AWS tenham o mesmo problema.