Linux, аудит доступа к файлам, есть ли такое?

Question

[Довольный Айтишникъ]

На серверах Windows можно настроить аудит доступа к файлам и после этого в журнале видно когда и какой пользователь открывал файл/папку, создавал, удалял и т.п. Есть ли подобный функционал в Linux системах?

Answer 1

[Алексей Черемисин]

Да, есть, причем очень разный.
1) Есть inotify - внутренний механизм ядра по слежению за файлами
2) Есть SELinux - система безопасности
3) есть auditd

Answer 2

[Alexey Dmitriev]

Есть, даже в ядре реализован. Для управления - пакет audit и auditd

Answer 3

[Владимир Куц]

https://www.thegeekdiary.com/how-to-audit-file-acc...

Comments

[Довольный Айтишникъ]

Можно небольшое уточнение по данному инструменту? Как я вижу чтоб посмотреть историю доступов к какому либо файлу (к примеру /etc/hosts) надо ввести ausearch -f /etc/hosts -i | less, а есть ли общий лог в который пишутся все события доступа по всем файлам? Просто это чудо надо скрестить с ELK и хочется как по проще.

[Владимир Куц]

Довольный Жизнью, где-то в /var/log/audit/audit.log нужно смотреть...

[Довольный Айтишникъ]

Владимир Куц, понял, спасибо, есть куда копать