使用 auditd 监控重启/关机执行
Posted
技术标签:
【中文标题】使用 auditd 监控重启/关机执行【英文标题】：Monitoring reboot/shutdown execution with auditd 【发布时间】：2020-07-11 17:07:03 【问题描述】：我有兴趣使用 auditd 监控重新启动/关闭命令的执行（以及执行此类命令的用户）。
我一直在测试以下规则：
-a exit,always -F arch=b64 -S execve -k my_rule
当我执行任何命令时，它都会生成系统调用事件：
$> ls
$> ausearch -k my_rule
time->Tue Mar 31 07:36:06 2020
type=SYSCALL msg=audit(1585640166.203:1186): arch=c000003e syscall=59 success=yes exit=0 a0=97c1c0 a1=a0d080 a2=9f7de0 a3=7ffe54a5de60 items=2 ppid=11024 pid=11088 auid=1000 uid=1000 gid=1000 euid=1000 suid=1000 fsuid=1000 egid=1000 sgid=1000 fsgid=1000 tty=pts1 ses=4 comm="ls" exe="/usr/bin/ls" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="my_rule"
但是，如果我执行 reboot 命令，它不会产生任何事件。我找不到导致此问题的原因或任何解决方案。
欢迎任何帮助，谢谢。
【问题讨论】：
【参考方案1】：您可能需要指定确切的可执行文件
-a exit,always -F arch=b64 -S execve -F path=/sbin/reboot -k my_rule
-a exit,always -F arch=b64 -S execve -F path=/sbin/init -k my_rule
【讨论】：
以上是关于使用 auditd 监控重启/关机执行的主要内容，如果未能解决你的问题，请参考以下文章