☰

使用 auditd 忽略特定类型

tag-icon • tag-icon linux security auditd
使用 auditd 忽略特定类型

我最近一直在研究 auditd，并试图删除它正在记录的一些内容。这是我的 audit.rules 条目来记录 execve

# First rule - delete all
-D

-a always,exit -F arch=b64 -S execve
-a always,exit -F arch=b64 -S vfork
-a always,exit -F arch=b64 -S fork

例如，这将生成以下内容：

type=SYSCALL msg=audit(1384889328.421:128620): arch={redacted} syscall={redacted} success={redacted} exit={redacted} a0={redacted} a1={redacted} a2={redacted} a3={redacted} items={redacted} ppid={redacted} pid={redacted} auid={redacted} uid={redacted} gid={redacted} euid={redacted} suid={redacted} fsuid={redacted} egid={redacted} sgid={redacted} fsgid={redacted} tty={redacted} ses={redacted} comm="{redacted}" exe="{redacted}
type=EXECVE msg=audit(1384889328.421:128620): argc={redacted} a0="{redacted}" a1="{redacted}" a2="{redacted}"
type=CWD msg=audit(1384889328.421:128620):  cwd="{redacted}"
type=PATH msg=audit(1384889328.421:128620): item=0 name="/{redacted}" inode={redacted} dev={redacted} mode={redacted} ouid=0 ogid=0 rdev=00:00
type=PATH msg=audit(1384889328.421:128620): item=1 name=(null) inode={redacted} dev={redacted} mode={redacted} ouid=0 ogid=0 rdev=00:00

我怎么能说我不想记录 type=PATH 呢？或者任何“类型”呢？

谢谢

答案1

 -a exclude,never -F msgtype=PATH

这手动的解释您可以应用的其他过滤器。

库审计有我发现的最佳类型列表。

相关内容