existe uma ferramenta de auditoria para rastrear instalações de pacotes e versão do kernel

Question

Atualmente estou diagnosticando um problema que começou há uma semana no meu laptop (rodando o Ubunutu). O problema exato não é relevante.

Como eu já estava executando várias versões do kernel construídas localmente e ainda aceitando atualizações regulares do pacote ubuntu, seria útil ter um log para se referir a quando cada novo pacote deb foi instalado e também a versão do kernel que eu estava rodando cada inicialização. Isso teria me ajudado a descobrir que mudanças no sistema causaram a ocorrência do problema.

Então, minha pergunta é que tal ferramenta de auditoria (para uma distribuição do Linux) é capaz de manter um registro de todas as instalações / atualizações / remoções de pacotes do SO e a versão do kernel usada sempre que a máquina é inicializada? Eu especificamente preciso estar sob uma licença de código aberto e razoavelmente direto para configurar e executar, para um usuário Linux experiente, mas aquele que não é um administrador de sistema em tempo integral - este é um laptop desenvolvedor não é um grande servidor depois de tudo.

    

Answer 1

Para rastrear os pacotes que são instalados, atualizados e removidos em um sistema Ubuntu, existe o arquivo /var/log/dpkg.log que lista todas as operações realizadas.

Para rastrear a versão do kernel usada no momento da inicialização, você pode ver isso com o comando last . Um exemplo de saída de last :

benoit   pts/1        :0               Sat Mar 15 21:24 - 21:38  (00:13)
reboot   system boot  3.11.0-18-generi Sat Mar 15 21:09 - 10:26 (4+13:17)
benoit   pts/1        :0               Thu Mar 13 20:59 - 21:03  (00:03)
benoit   pts/1        :0               Thu Mar 13 20:38 - 20:52  (00:14)

Você vê a versão do kernel usada para inicializar na terceira coluna.

Como last obtém suas informações do arquivo /var/log/wtmp que pode ser rotacionado (como qualquer outro arquivo de log), você pode recuperar informações antigas usando o comando da seguinte forma:

$ last -f /var/log/wtmp.1

Para exibir as informações contidas em /var/log/wtmp.1 .

Naturalmente, o processo logrotate pode ser adaptado para reter mais arquivos de log. Consulte /etc/logrotate.conf e os arquivos no diretório /etc/logrotate.d para aumentar o número de arquivos de log arquivados a serem mantidos.

    

Answer 2

Acho que você pode fazer isso com o Tripwire .