文章/答案/技术大牛

发布

社区首页 >问答首页 >使用auditd监视重启/关机执行

问使用auditd监视重启/关机执行
EN

Stack Overflow用户

提问于 2020-03-31 15:46:35

回答 1查看 273关注 0票数 0

我对使用auditd监视reboot/shutdown命令的执行(以及执行该命令的用户)很感兴趣。

我一直在测试以下规则：

-a exit,always -F arch=b64 -S execve -k  my_rule

当我执行任何命令时，它都会生成syscall事件：

$> ls
$> ausearch -k my_rule
time->Tue Mar 31 07:36:06 2020
type=SYSCALL msg=audit(1585640166.203:1186): arch=c000003e syscall=59 success=yes exit=0 a0=97c1c0 a1=a0d080 a2=9f7de0 a3=7ffe54a5de60 items=2 ppid=11024 pid=11088 auid=1000 uid=1000 gid=1000 euid=1000 suid=1000 fsuid=1000 egid=1000 sgid=1000 fsgid=1000 tty=pts1 ses=4 comm="ls" exe="/usr/bin/ls" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="my_rule"

但是，如果我执行reboot命令，它不会生成任何事件。我找不到导致这种情况的原因或任何解决方案。

欢迎任何帮助，谢谢。

linux

operating-system

audit

回答 1

Stack Overflow用户

发布于 2020-07-16 15:35:21

您可能需要指定确切的可执行文件

-a exit,always -F arch=b64 -S execve -F path=/sbin/reboot -k my_rule
-a exit,always -F arch=b64 -S execve -F path=/sbin/init -k my_rule

票数 0

页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://stackoverflow.com/questions/60945650

复制

相似问题

问使用auditd监视重启/关机执行
EN

回答 1

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问使用auditd监视重启/关机执行EN

回答 1

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问使用auditd监视重启/关机执行
EN