auditdでのログ監視: 与一's 外部記憶

auditdについて以前調べたことを羅列します。 監査で使えるらしい。 RHEL4.6で検証。 デフォルト設定で検証。 １．設定ファイル"/etc/audit/auditd.rules"で、どのような条件で監査メッセージを出力するかを設定。設定項目については、"man auditctl"を参照。 デフォルトだとtelnet,ssh,ftp等のログオン、ログオフをログに記録している。ftpはなぜかログオン時しログに出力されていない。設定ファイルに"-w /bin/cp"を追記するとcpコマンドとかも監視できる。 ２．ログは"/var/log/audit/auditd.log"に出力される。 ３．ログローテーションは"/etc/auditd.conf"に以下の記述をすれば設定できるはず。 例) ・ログがいっぱいになるとログローテーションさせる。 max_log_file_action = RO