![仅审计文件更改](https://linux22.com/image/681857/%E4%BB%85%E5%AE%A1%E8%AE%A1%E6%96%87%E4%BB%B6%E6%9B%B4%E6%94%B9.png)
我正在使用 Auditd 来记录文件的任何更改。规则如下:
# auditctl -l
LIST_RULES: exit,always dir=/var/local/ (0x1e) perm=w key=state-files
但如果我运行:
# ausearch -i -k state-files
我得到的命令:
...
type=PATH msg=audit(04/27/16 12:51:42.793:8700) : item=0 name=/var/local/some/path/file inode=6100653 dev=08:01 mode=file,644 ouid=someuser ogid=admin rdev=00:00
type=CWD msg=audit(04/27/16 12:51:42.793:8700) : cwd=/opt/app/bin
type=SYSCALL msg=audit(04/27/16 12:51:42.793:8700) : arch=x86_64 syscall=open success=yes exit=125 a0=7f9f602ecfa0 a1=241 a2=1b6 a3=7f9f75f69e20 items=1 ppid=13812 pid=13814 auid=unset uid=someuser gid=somegroup euid=xxx suid=ccc fsuid=zzz egid=aaa sgid=bbb fsgid=sss tty=(none) ses=4294967295 comm=java exe=/opt/jdk1.7.0_79/bin/java key=state-files
...
问题是,即使权限设置为只写,ausearch 也会报告文件的打开情况。我想只报告文件的更改,而不是读取。