RHELのAudit設定（ファイルアクセス監査） - Qiita

システム上に存在する個人情報の扱いが厳しくなった昨今、そこにセンシティブなデータがあるなら、「いつ・だれが・なにを・どうした・どうなった」という記録を取り、不正なアクセスがなかったかを監査しなければいけない、というセキュリティ要件が一般的になっている。 というわけで、Linux標準機能（audit）を使用したファイルアクセス監査の設定と、レポート出力（加工）の覚書。 前提環境 RHEL7.3(maipo) アーキテクチャ マニュアルに記載してある（英語版のほうが図に違和感がない気がする）。 簡単にいえば、カーネルの機能でシステムコール実行時にフィルタリングしつつ、"Audit daemon"が実際のログ記録をカーネルから情報取得して行う。 このフィルタリングの説明がわかりにくい。 システムコールを受け、これを user、task、または exit のいずれかのフィルターで振り分けます。シス