Как настроить auditd?

Question

[fokin_nikolay1989]

Как настроить правила auditd, на регистрацию событий:
USER_ROLE_CHANGE
SYSCALL
SERVICE_START
SERVICE_STOP

Comments

[Zerg89]

Что сделал? что не получилось?

Answer 1

[Alex G.]

Открываешь файл, обычно это /etc/audit/auditd.conf, добавляешь правила, потом перезагружаешь службу.

Comments

[fokin_nikolay1989]

Я хотел спросить как будут выглядеть правила для регистрации данных событий

[Alex G.]

fokin_nikolay1989, Ну как то так например
-a exit,always -F arch=b64 -S kill -k kill_rule

[fokin_nikolay1989]

Alex G., благодарю