☰

关于审计的问题

tag-icon • tag-icon rhel audit linux-audit
关于审计的问题

执行以下指令后

auditctl -a always, exit -F path=/usr/bin/chcon -F perm=x -F auid>=1000 -F auid!=unset -F key=privileged-priv_change

它返回以下错误

-F missing operation for auid

这要怎么处理呢？我的操作系统是Red Hat 7。

答案1

执行上述命令行会导致大于号>被 shell 解释为重定向运算符，这可能是bash.因此，auid缺少了 for 操作，因为后面的所有内容>都不是命令的一部分。您可能会=1000在当前目录中看到一个名为的文件。

要正确执行，您必须>像这样转义：

auditctl -a always, exit -F path=/usr/bin/chcon -F perm=x -F auid\>=1000 -F auid!=unset -F key=privileged-priv_change

或者像这样：

auditctl -a always, exit -F path=/usr/bin/chcon -F perm=x -F "auid>=1000" -F auid!=unset -F key=privileged-priv_change

答案2

注意空格

auditctl -a always,exit -F path=/usr/bin/chcon -F perm=x -F auid>=1000 -F auid!=unset -k privileged-priv_change

相关内容