audit daemon

démon d'audit (auditd) est une source ouverte, libre et non-interactive démon, un programme en ligne de commande qui fournit les outils de l'espace utilisateur nécessaires pour la création de règles d'audit sur les systèmes d'exploitation basés sur le noyau Linux.

Le logiciel peut également être utilisé pour rechercher et mémoriser les enregistrements d'audit qui ont été générés par le système d'audit dans le noyau Linux 2.6 ou ultérieur. Il fonctionne comme un cadre d'audit autonome limitée de votre distribution GNU / Linux.

Aussi connu comme le Cadre Audit Linux, le projet de démon d'audit a été initialement créé pour fournir l'appel système d'audit sans marcher sur les fonctionnalités existantes fournies par des projets comme SELinux.

Le programme peut ouvrir et fermer des fichiers journaux d'audit qui sont trouvent dans les dossiers spécifiés dans le fichier de audit_control. Il faudra tous les fichiers dans l'ordre où ils sont spécifiés dans ce fichier et lit les données d'audit seulement à partir du noyau. Puis, il écrit que les données dans un fichier journal d'audit.

En outre, il exécute un script appelé audit_warn lorsque les dossiers de vérification respectifs remplissent passé les limites spécifiées écrites dans le fichier de audit_control. démon d'audit enverra alors des avertissements à la console et à l'alias audit_warn mail.

Pour installer le démon d'audit de votre système d'exploitation GNU / Linux en utilisant le paquet source, vous devrez d'abord le télécharger à partir de son site officiel (voir le lien de la page d'accueil à la fin de l'article), enregistrer l'archive sur votre site répertoire et décompressez-le en utilisant un outil de gestionnaire d'archives.

Dans un émulateur de terminal, accédez à l'emplacement des fichiers d'archives extraites en utilisant le & lsquo; cd & rsquo; commande (par exemple de /home/softoware/audit-2.4.1 cd), exécutez le & lsquo; ./ configure && make & rsquo; commande pour configurer et compiler le programme, puis exécutez le & lsquo; sudo make install & rsquo; commande pour installer l'ensemble du système

Ce qui est nouveau dans cette version:.

• Ajout du support de python3 pour libaudit
• avertissements Nettoyage automake
• Ajouter à AuParser_search_add_timestamp_item_ex liaisons Python
• Ajouter à AuParser_get_type_name liaisons Python
• traitement correct de obj_gid dans AUDITCTL (Aleksander Zdyb)
• Assurez-fichier de configuration plug-in analyse plus robuste pendant de longues lignes (# 1,235,457 de)
• Faire état AUDITCTL impression terrain perdu nombre unsigned
• Ajout du mode d'interprétation pour AUDITCTL -s
• Ajout du support de python3 à auparse bibliothèque
• Assurez --enable-ZOS-distance une option de configuration de temps de construction (Clayton Shotwell)
• Mises à jour pour la compilation croisée (Clayton Shotwell)
• Ajouter MAC_CHECK type d'événement d'audit
• Ajouter un fichier de pkgconfig libauparse (Aleksander Zdyb)

Ce qui est nouveau dans la version 2.4.1:

• Assurez-soutien python3 facile
• Ajout du support pour ppc64le (Tony Jones)
• Ajouter quelques traductions pour A1 du système de ioctl appelle
• Ajouter commande et de virtualisation des rapports à aureport
• Mise à jour aureport rapport de configuration pour de nouveaux événements
• Ajouter un compte rapport de synthèse de modification aureport
• Ajouter les types d'événements et GRP_MGMT GRP_CHAUTHTOK

rapports
• Correct aureport compte changement
• Ajoutez rapport d'événement de l'intégrité de aureport
• Ajouter config rapport changement sommaire aureport
• ajuster certains paramètres de niveau de Syslogging dans audispd
• Améliorer les performances de l'analyse de tout
• Lorsque ausearch génère une ligne, utiliser les valeurs précédemment analysés (Burn Alting)
• Améliorer la recherche et l'interprétation des groupes à des événements
• interpréter entièrement le champ proctitle dans auparse
• libaudit correcte et le soutien AUDITCTL pour les fonctionnalités du noyau
• Ajout du support pour le réglage backlog_time_wait via AUDITCTL
• Mise à jour des tables de syscall pour le noyau 3.18
• Ignorer l'échec de DNS pour la validation mail dans auditd (# 1138674)
• Laissez tourner comme action pour space_left et disk_full dans auditd.conf
• Correct rapport de synthèse de connexion de aureport

syscalls
• AUDITCTL peuvent être séparés par des virgules maintenant
• les règles de mise à jour pour les nouveaux sous-systèmes et des capacités

Ce qui est nouveau dans la version 2.3.2:

• Mettez RefuseManualStop dans la section systemd droite (# 969345 )
• Ajout de scripts héritage de redémarrage pour le soutien systemd
• Ajout de plus d'interprétations de l'argument de syscall
• Ajouter mot-clé position «désactivé» pour uid et gid valeurs dans AUDITCTL
• Dans ausearch, analyser obj dans les dossiers de la CIB
• Dans ausearch, analyser subj dans les dossiers de DAEMON_ROTATE
• Fix interprétation des événements et mq_open mq_notify
• Dans auditd, redémarrage répartiteur sur SIGHUP si elle avait déjà quitté
• Dans audispd, sortie en l'absence de plugins actifs sont détectés sur reconfigure
• Dans audispd, le masque de signal clair fixé par libev sorte que SIGHUP fonctionne à nouveau
• Dans audispd, suivre plugins binaires et redémarrer si binaire a été mis à jour
• Dans audispd, assurez-vous que nous envoyons des signaux au processus correct
• Dans auditd, le masque de signal clair lorsque le frai tout processus enfant
• Dans audispd, faire des plugins builtin répondent à SIGHUP
• Dans auparse, interpréter drapeaux de mode de syscall ouverte si O_CREAT est passé
• Dans audisp-distance, ne pas faire de recherche d'adresse toujours un échec permanent
• Dans audisp-distance, de supprimer des événements EOE plus efficacement
• Dans auditd, connectez-vous la raison lorsque compte de messagerie est pas valide
• Dans audisp-distance, l'action de remote_ending changement défaut de se reconnecter
• Ajout du support pour les processeurs Aarch64

Ce qui est nouveau dans la version 2.2.1:

• Ajouter plusieurs interprétations dans auparse pour les paramètres de syscall
• Ajoutez quelques interprétations ausearch pour les paramètres de syscall
• Dans ausearch / rapport et auparse, allouer de l'espace supplémentaire pour les noms de nœuds
• Mise à jour des tables de syscall pour le noyau 3.3.0
• Mise à jour 4.0.4 pour libev
• Réduire la taille de certaines applications
• Dans AUDITCTL, l'utilisation des chèques contre euid plutôt que uid

Ce qui est nouveau dans la version 2.1.1:

• Lorsque ausearch est interpretting, sortie & quot; comme il est & quot ; si aucun = se trouve
• Configuration de prise correcte dans la journalisation à distance
• ajusté les paramètres un couple de défaut pour la connexion à distance et script d'initialisation
• Audispd n'a pas été renouvelées marquage plugins comme active
• audisp-distance devrait garder une capacité si local_port & lt; 1024
• Lorsque audispd redémarre plugin, envoyer événement dans son format préféré
• Dans audisp-distance, faire toute E / S asynchrone
• Dans audisp-distant, ajoutez gestionnaire de sigusr1 pour vider état interne
• Fix autrace utiliser syscalls correctes sur les systèmes s390 et s390x
• Ajouter arrêt syscall pour démontages d'exploitation à distance
• Correct règle de autrace pour 32 systèmes bits

Ce qui est nouveau dans la version 2.1:

• Mise à jour de la page de manuel AUDITCTL pour nouveau champ sur le filtre de l'utilisateur
• Correction du crash dans aulast quand AUID est étrangère au système
• Nettoyage de code
• Ajouter magasin et modèle impatience audispd-distance (Mirek Trmac)
• mémoire libre sur startups échoué dans audisp-prélude
• fuite de mémoire de correctifs sur aureport
• Correction d'analyse problème de l'Etat dans libauparse
• Améliorer la robustesse des fonctions de codage de champ de libaudit
• tables de capacité de mise à jour
• Dans auditd, rendre l'action de l'échec config vérifier cohérente
• Dans auditd, vérifiez que la valeur NULL est pas passé à safe_exec
• Dans audisp-distance, overflow_action n'a pas été mise en suspension si cette action a été choisi
• interprétations de mise à jour pour les événements de virt
• Améliorer avertissement de la connexion à distance et les messages d'erreur
• Ajouter interprétations pour les événements de netfilter

Ce qui est nouveau dans la version 2.0.6:

améliorations
• ausearch / de performance de rapport
• Synchronisez toutes les règles échantillon syscall d'utiliser l'action, la liste
• Si le nom du programme prévu pour audit_log_acct_message, échapper
• Fix page de manuel pour la fonction de audit_encode_nv_string (# 647131)
• Si la valeur est NULL, ne pas segmentation fault (# 647128)
• Correction d'événement simple analyse de ne pas supposer identifiant de session ne peut pas être le dernier (Peng Haitao)
• Ajout du support pour le nouveau type d'événement d'audit de mmap
• Ajout de la possibilité pour audispd syslog plug-in de choisir installation local0-7 (# 593340)
• Fix autrace utiliser syscalls corrects sur les systèmes i386 (Peng Haitao)
• Au démarrage et reconfig, vérifier les journaux excès et dissocier les
• Ajouter un couple manquant messages analyseur de débogage
• sortie d'erreur Fix résolution numérique adresse de la page et mettre à jour l'homme
• Ajout types d'événements netfilter
• Correction d'erreur d'orthographe dans audit.rules page de manuel (# 667845)
• Améliorer avertissement dans AUDITCTL concernant le mode immuable (# 654883)
• Mise à jour des tables de syscall pour le noyau 2.6.37
• Dans ausearch, permet la recherche de AUID -1
• Ajouter à la file d'attente overflow_action audisp-télécommande pour contrôler les débordements de file d'attente
• exemples de règles de mise à jour pour les nouveaux appels système et forfaits

Quoi de neuf dans la version 2.0.5:

• Un couple de corrections ont été faites pour 32 bits systèmes lors de l'utilisation d'un champ d'inode dans les règles.
• Mises à jour de la table syscall ont été faites pour les noyaux récents.
• De nouveaux événements ont été ajoutés pour le démarrage de service / arrêt et la virtualisation.
• La manipulation de la directive ignorer dans AUDITCTL a été fixé.

Ce qui est nouveau dans la version 2.0.3:

• Beaucoup de corrections de journalisation à distance ont été faites, y compris un potentiel problème de sécurité si gssapi était activée.

Ce qui est nouveau dans la version 2.0.1:.

• getloginuid a été fixé pour les liaisons Python
• Le plugin audispd AF_UNIX a été désactivée par défaut.
• Un bug dans connexion à distance a été fixé.
• Le script d'initialisation a été mis à jour.
• La page de manuel a été mis à jour.