☰

如何解释关机期间记录的审核消息？

tag-icon • tag-icon rhel raid shutdown audit
如何解释关机期间记录的审核消息？

我的机器 (RHEL 7.4) 在关闭期间挂起并显示以下审核消息：

type=1300 audit(1503569606.186:27573): arch=c000003e syscall=2 sucess=no exit=-13 a0=7ffee8a3db90 a1=2 a2=64 a3=16 items=1 ppid=1 pid=19786 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=4294967295 comm="mdmon" exe="/usr/sbin/mdmon" subj=system_u:system_r:init_t:s0 key="CheckFileAccess"
type=1307 audit(1503569606.186:27573): cwd="/"
type=1302 audit(1503569606.186:27573): item=0 name="/sys/block/md126/md/sync_completed" inode=33831 dev=00:11 mode=0100444 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:sysfs_t:s0 objtype=NORMAL
type=1327 audit(1503569606.186:27573): proctitle=40646D6F6E002D2D74616B656F766572006D64313237

通常我会用

ausearch --interpret --file /home/user1/audit_shutdown.log

解释消息，但它只是输出

<no matches>

正常的消息如下所示：

type=SYSCALL msg=audit(1364481363.243:24287): arch=c000003e syscall=2 success=no exit=-13 a0=7fffd19c5592 a1=0 a2=7fffd19c4b50 a3=a items=1 ppid=2686 pid=3538 auid=1000 uid=1000 gid=1000 euid=1000 suid=1000 fsuid=1000 egid=1000 sgid=1000 fsgid=1000 tty=pts0 ses=1 comm="cat" exe="/bin/cat" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="sshd_config"
type=CWD msg=audit(1364481363.243:24287):  cwd="/home/shadowman"
type=PATH msg=audit(1364481363.243:24287): item=0 name="/etc/ssh/sshd_config" inode=409248 dev=fd:00 mode=0100600 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:etc_t:s0
type=PROCTITLE msg=audit(1364481363.243:24287) : proctitle=636174002F6574632F7373682F737368645F636F6E666967

我猜想 1300 = SYSCALL 等等。但我怎么确定呢？

答案1

我使用了错误的论点。

--file 搜索文件。

--input 使用文件作为输入。

所以

ausearch --interpret -input /home/user1/audit_shutdown.log

正确解释文件

相关内容