auditcl 데몬을 사용하여 장치 파일 감사

Question

터미널과 직렬 포트에서 어떤 명령을 입력했는지 확인하려고합니다. 이를 위해 나는 파일 감사에 도움이되는 auditd 데몬을 사용하고 있습니다.

나는 터미널과 시리얼 장치에서 각각 일어나는 일들을보기 위해/dev/tty와/dev/ttyAMA0에 대한 감사 규칙을 만들 것을 생각했다.

auditctl -w /dev/ttyAMA0 -p rwx -k serialport

auditctl -w /dev/tty -p rwx -k terminal

그러나 이것은 청각 장애에만 에코를 기록합니다. 터미널에서 입력 한 모든 명령을 감사 할 수 없습니다. /etc/pam.d/sshd 파일에 session required pam_tty_audit.so enable=*을 추가하여 PAM 파일의 tty 로깅을 활성화했습니다.

이 감사를 수행하는 다른 방법이 있습니까? 모든 감사 로그가 하나의 파일에 포함되도록 auditd 데몬 만 사용하려고합니다.

Answer 1

auditctl -a exit,always -S execve 나를 위해 일했다. 하지만 너무 많은 로그를 생성하여 백그라운드 프로세스로 생성 된 로그를 제거하는 방법을 찾지 못했습니다.