web-dev-qa-db-ja.com

auditdで特定のタイプを無視する

私は最近、auditdで遊んでいて、ログに記録されているものの一部を切り取ろうとしています。これがexecveをログに記録するためのaudit.rulesエントリです。

# First rule - delete all
-D

-a always,exit -F Arch=b64 -S execve
-a always,exit -F Arch=b64 -S vfork
-a always,exit -F Arch=b64 -S fork

これにより、たとえば、次のようになります。

type=SYSCALL msg=audit(1384889328.421:128620): Arch={redacted} syscall={redacted} success={redacted} exit={redacted} a0={redacted} a1={redacted} a2={redacted} a3={redacted} items={redacted} ppid={redacted} pid={redacted} auid={redacted} uid={redacted} gid={redacted} euid={redacted} suid={redacted} fsuid={redacted} egid={redacted} sgid={redacted} fsgid={redacted} tty={redacted} ses={redacted} comm="{redacted}" exe="{redacted}
type=EXECVE msg=audit(1384889328.421:128620): argc={redacted} a0="{redacted}" a1="{redacted}" a2="{redacted}"
type=CWD msg=audit(1384889328.421:128620):  cwd="{redacted}"
type=PATH msg=audit(1384889328.421:128620): item=0 name="/{redacted}" inode={redacted} dev={redacted} mode={redacted} ouid=0 ogid=0 rdev=00:00
type=PATH msg=audit(1384889328.421:128620): item=1 name=(null) inode={redacted} dev={redacted} mode={redacted} ouid=0 ogid=0 rdev=00:00

Type = PATHをログに記録したくないと言うにはどうすればよいですか？または、そのことについての「タイプ」はありますか？

ありがとう

linuxsecurityauditd
1
MyelinSheath
 -a exclude,never -F msgtype=PATH

manual は、適用できる他のフィルターについて説明しています。

libaudit.h は、私が見つけたタイプの最良のリストを持っています。

1
Kiksy