Eu usei o argumento errado.
- o arquivo procura por um arquivo.
- a entrada usa um arquivo como entrada.
Então
ausearch --interpret -input /home/user1/audit_shutdown.log
interpreta o arquivo corretamente
Minha máquina (RHEL 7.4) está travada durante o desligamento e exibe a seguinte mensagem de auditoria:
type=1300 audit(1503569606.186:27573): arch=c000003e syscall=2 sucess=no exit=-13 a0=7ffee8a3db90 a1=2 a2=64 a3=16 items=1 ppid=1 pid=19786 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=4294967295 comm="mdmon" exe="/usr/sbin/mdmon" subj=system_u:system_r:init_t:s0 key="CheckFileAccess"
type=1307 audit(1503569606.186:27573): cwd="/"
type=1302 audit(1503569606.186:27573): item=0 name="/sys/block/md126/md/sync_completed" inode=33831 dev=00:11 mode=0100444 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:sysfs_t:s0 objtype=NORMAL
type=1327 audit(1503569606.186:27573): proctitle=40646D6F6E002D2D74616B656F766572006D64313237
normalmente eu usaria
ausearch --interpret --file /home/user1/audit_shutdown.log
para interpretar a mensagem, mas é apenas a saída
<no matches>
uma mensagem normal ficaria assim:
type=SYSCALL msg=audit(1364481363.243:24287): arch=c000003e syscall=2 success=no exit=-13 a0=7fffd19c5592 a1=0 a2=7fffd19c4b50 a3=a items=1 ppid=2686 pid=3538 auid=1000 uid=1000 gid=1000 euid=1000 suid=1000 fsuid=1000 egid=1000 sgid=1000 fsgid=1000 tty=pts0 ses=1 comm="cat" exe="/bin/cat" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="sshd_config"
type=CWD msg=audit(1364481363.243:24287): cwd="/home/shadowman"
type=PATH msg=audit(1364481363.243:24287): item=0 name="/etc/ssh/sshd_config" inode=409248 dev=fd:00 mode=0100600 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:etc_t:s0
type=PROCTITLE msg=audit(1364481363.243:24287) : proctitle=636174002F6574632F7373682F737368645F636F6E666967
Eu acho que 1300 = SYSCALL e assim por diante. Mas como eu tenho certeza?