linux - 使用 auditd 监控重启/关机执行

Question

我有兴趣使用 auditd 监视重新启动/关闭命令的执行（以及执行此类命令的用户）。

我一直在测试以下规则：

-a exit,always -F arch=b64 -S execve -k  my_rule

当我执行任何命令时，它会生成系统调用事件：

$> ls
$> ausearch -k my_rule
time->Tue Mar 31 07:36:06 2020
type=SYSCALL msg=audit(1585640166.203:1186): arch=c000003e syscall=59 success=yes exit=0 a0=97c1c0 a1=a0d080 a2=9f7de0 a3=7ffe54a5de60 items=2 ppid=11024 pid=11088 auid=1000 uid=1000 gid=1000 euid=1000 suid=1000 fsuid=1000 egid=1000 sgid=1000 fsgid=1000 tty=pts1 ses=4 comm="ls" exe="/usr/bin/ls" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="my_rule"

但是，如果我执行 reboot 命令，它不会生成任何事件。我找不到导致此问题的原因或任何解决方案。

欢迎任何帮助，谢谢。

标签： linuxoperating-systemaudit

Answer 1

您可能需要指定确切的可执行文件

-a exit,always -F arch=b64 -S execve -F path=/sbin/reboot -k my_rule
-a exit,always -F arch=b64 -S execve -F path=/sbin/init -k my_rule