web-dev-qa-db-ja.com

auditdルールファイルの問題

CentOS 7で監査ルールの生成に問題があります。

.rulesディレクトリに2つの/etc/audit/rules.d/ファイルがあります。どちらのファイルもrootが所有しており、rootだけがアクセスできます。 augenrules --loadを使用してルールをリロードすると、auditctl -lを実行するとNo rulesと表示されます。しかし、/etc/audit/audit.rulesの内容を見ると、.rulesファイルから自動的に生成されたものであり、両方のファイルのすべてのルールが含まれていることがわかります。

.rulesファイルのいずれかをそのディレクトリから移動してルールをリロードすると、正常に機能します。問題は私がそこに両方の​​ファイルを持っているときだけのようです。 rules.dディレクトリのポイントは、複数のルールセットを持つことができるということだと思いましたか？私が見逃しているアイデアはありますか？

centos7auditd
2
fitzplb

OK。完全を期すために、問題は、結果の/etc/audit/audit.rulesにエラーがあったため、auditdが再起動を試みたときにエラーが発生し、最初のディレクティブの1つが以前のすべてのルールを削除することであったということでした、それからあなたはルールが整っていない状態になりました。 IE

[root@stroomfp0 audit]# cat /etc/audit/audit.rules
## This file is automatically generated from /etc/audit/rules.d
-w /etc/docker/daemon.json -p wa -k docker CIS-1.11

[root@stroomfp0 audit]# 
[root@stroomfp0 audit]# service auditd restart
Stopping logging:                                          [  OK  ]
Redirecting start to /bin/systemctl start auditd.service
[root@stroomfp0 audit]# tail /var/log/messages
Jun 27 21:16:17 stroomfp0 systemd: Starting Security Auditing Service...
Jun 27 21:16:18 stroomfp0 auditd[10342]: Started dispatcher: /sbin/audispd pid: 10346
Jun 27 21:16:18 stroomfp0 audispd: No plugins found, exiting
Jun 27 21:16:18 stroomfp0 kernel: type=1305 audit(1498562178.008:701): 
audit_enabled=1 old=1 auid=4294967295 ses=4294967295 subj=system_u:system_r:auditd_t:s0 res=1
Jun 27 21:16:18 stroomfp0 kernel: type=1305 audit(1498562178.010:702): audit_pid=10342 old=0 auid=4294967295 ses=4294967295 subj=system_u:system_r:auditd_t:s0 res=1
Jun 27 21:16:18 stroomfp0 augenrules: /sbin/augenrules: No change
Jun 27 21:16:18 stroomfp0 auditctl: parameter passed without an option given
Jun 27 21:16:18 stroomfp0 auditctl: There was an error in line 5 of /etc/audit/audit.rules
Jun 27 21:16:18 stroomfp0 auditd[10342]: Init complete, auditd 2.6.5 listening for events (startup state enable)
Jun 27 21:16:18 stroomfp0 systemd: Started Security Auditing Service.
[root@stroomfp0 audit]#

エラーを修正したら、ルールファイルを再生成し、その結果、auditdの再起動により、すべてが機能することが実証されました。

ストーリーのモラル、常にメッセージログを確認してくださいweird activity :-)

1
BurnA