Linux audit【daemon配置篇】

    本文主要介绍auditd的配置。

    audit daemon的主要配置文件有两个，一个是/etc/sysconfig/auditd, 另一个是/etc/audit/auditd.conf.

/etc/sysconfig/auditd---->配置auditd运行时的环境

• AUDITD_LANG--->auditd运行时的locale
• AUDITD_DISABLE_CONTEXTS---->不监控系统调用

/etc/audit/auditd.conf---->配置auditd运行时的功能，格式val = value

• log_file, log_format, log_group--->log_file标示日志存放路径，log_format标示日志记录格式，log_group 日志的属主。log_format有两种格式一种是raw，记录内核发送的原始格式，一种是nolog，也就是日志不会被写到硬盘。注：如果你想使用aureport生成报告的话，请使用raw格式。
• priority_boost--->设置auditd的优先启动级，默认是4，具有较高的优先级启动，0的话是正常顺序启动。

      ps aux的显示来观察auditd的启动优先级

root 3318 0.0 0.0 12516 764 ? S

S

• flush and freq ---->flush的可选值为none（日志不写到磁盘）， incremental (日志写到磁盘，freq指定多少记录开始写到磁盘)，data（保持部分数据和磁盘的一直同步），sync（每次记录都写到磁盘）。freq和 incremental 可选值一起使用，表示多少条记录一组写到磁盘。
• num_logs ------>指定log的数目，数目要求是正数，如果数目小于2，表示不会rotate日志，大于2，也就是达到指定大小会rotate日志。 max_log_file_action 指定rotate行为。
• dip_qos and dipatcher---> 
• name_format and name---->name_format 可以为none（不使用名字），fqd（DNS解析的详细名字），numeric（IP地址），user（使用name选项指定的字符串）
• max_log_file and   max_log_file_action ---->max_log_file 指定当文件大小达到设定的M值，执行action，action可选为ignore（不处理），rotate（压缩分文件），syslog（发warning信息），suspend（暂停auditd），keep_logs（rotate log 保留所有log）
• space_left and space_left_action---->space_left指定space M 值触发action。space_left_action 执行的动作（具体参看man auditd.conf）
• action_mail_acct--->设定warning 发送的email地址
• admin_space_left and admin_space_left_action ----->遗留空间 用法同space_left
• disk_full_action------>同 space_left_action，执行盘空间满的行为。
• disk_error_action---->同 space_left_action， 监测磁盘错误发生时作出某些action
• tcp_listen_port, tcp_listen_queue, tcp_client_ports and tcp_client_max_idle--->从其他audit发来的事件参数。