AUDITCTL(8)         Utilitare de administrare a sistemului         AUDITCTL(8)

NUME
       auditctl - un instrument care ajuta la controlul sistemului de audit al
       nucleului

SINOPSIS
       auditctl [opt<?>iuni]

DESCRIERE
       Programul auditctl este utilizat pentru a configura op<?>iunile
       nucleului legate de audit, pentru a vedea starea configura<?>iei <?>i
       pentru a incarca reguli de audit discre<?>ionare.

OP<?>IUNI DE CONFIGURARE
       -b jurnale-restante
              Stabile<?>te numarul maxim (limita) de tampoane de audit
              restante permise (implicit in nucleu = 64). Daca toate
              tampoanele sunt pline, nucleul consulta fanionul de eroare
              pentru a lua masuri.

       --backlog_wait_time timp-a<?>teptare
              Stabile<?>te timpul de a<?>teptare al nucleului (implicit 60*HZ)
              atunci cand se atinge limita de restan<?>e inainte de a pune in
              coada mai multe evenimente de audit pentru a fi transferate
              catre auditd. Numarul trebuie sa fie mai mare sau egal cu zero
              <?>i mai mic de 10 ori valoarea implicita.

       --reset_backlog_wait_time_actual
              Reini<?>ializeaza contorul timpului de a<?>teptare actual al
              jurnalelor-restante afi<?>at de comanda de stare.

       -c     Continua incarcarea regulilor in ciuda unei erori. Aceasta
              rezuma rezultatele incarcarii regulilor. Codul de ie<?>ire nu va
              fi de succes daca vreuna dintre reguli nu se incarca.

       -D     Sterge toate regulile si monitorizarile. Aceasta poate lua si o
              op<?>iune cheie (-k).

       -e [0..2]
              Stabile<?>te fanionul de activare. Cand 0 este trecut, acesta
              poate fi utilizat pentru a dezactiva temporar auditarea. Cand 1
              este trecut ca argument, acesta va activa auditarea. Pentru a
              bloca configura<?>ia de audit astfel incat sa nu poata fi
              modificata, trece<?>i un 2 ca argument. Blocarea configura<?>iei
              este destinata sa fie ultima comanda din audit.rules pentru
              oricine dore<?>te ca aceasta func<?>ie sa fie activa. Orice
              incercare de modificare a configura<?>iei in acest mod va fi
              auditata <?>i respinsa. Configura<?>ia poate fi modificata numai
              prin repornirea ma<?>inii.

       -f [0..2]
              Stabile<?>te modul de e<?>ec 0=silent 1=printk 2=panic. Aceasta
              op<?>iune va permite sa determina<?>i modul in care dori<?>i ca
              nucleul sa gestioneze erorile critice. Exemple de condi<?>ii in
              care acest mod poate avea efect includ: erori de transmisie
              catre demonul de audit al spa<?>iului utilizator, depa<?>irea
              limitei de restan<?>e, memorie insuficienta a nucleului <?>i
              depa<?>irea limitei de viteza. Valoarea implicita este 1.
              Mediile securizate vor dori probabil sa stabileasca aceasta
              valoare la 2.

       -h, --help
              Ajutor

       -i     Cand este specificata singura, ignora erorile la citirea
              regulilor dintr-un fi<?>ier. Acest lucru face ca auditctl sa
              returneze intotdeauna un cod de ie<?>ire de succes. Daca este
              trecut ca argument pentru -s, atunci ofera o interpretare a
              numerelor in cuvinte inteligibile pentru persoane, daca este
              posibil.

       --loginuid-immutable
              Aceasta op<?>iune indica nucleului sa faca loginuid-urile
              nemodificabile odata ce au fost stabilite. Modificarea
              loginuid-urilor necesita CAP_AUDIT_CONTROL. Prin urmare, nu este
              ceva ce poate fi facut de utilizatori fara privilegii. Activarea
              acestei op<?>iuni face loginuid-urile inviolabile, dar poate
              cauza unele probleme in anumite tipuri de containere.

       -q punct-montare,sub-arbore
              Daca ave<?>i un director existent supravegheat <?>i lega<?>i sau
              muta<?>i un alt sub-arbore in sub-arborele supravegheat, trebuie
              sa indica<?>i nucleului sa faca sub-arborele montat echivalent
              cu directorul supravegheat. Daca sub-arborele este deja montat
              in momentul emiterii supravegherii directorului, sub-arborele
              este automat marcat pentru supraveghere. Va rugam sa
              re<?>ine<?>i virgula care separa cele doua valori. Omiterea
              acesteia va provoca erori.

       -r frecven<?>a
              Stabile<?>te limita in mesaje/secunda (0=niciuna). Daca aceasta
              valoare frecven<?>a este diferita de zero <?>i este depa<?>ita,
              nucleul consulta fanionul de eroare pentru a lua masuri.
              Valoarea implicita este 0.

       --reset-lost
              Reini<?>ializeaza contorul de inregistrari pierdute afi<?>at de
              comanda de stare.

       -R fi<?>ier
              Cite<?>te <?>i executa comenzile auditctl dintr-un fi<?>ier.
              Comenzile sunt executate linie cu linie, in ordinea in care apar
              in fi<?>ier. Fi<?>ierul trebuie sa apar<?>ina utilizatorului
              root <?>i sa nu poata fi citit de al<?>i utilizatori, altfel va
              fi respins. Liniile goale sunt omise. Liniile care incep cu
              caracterul ,,#" sunt tratate ca linii de comentarii. Fiecare
              linie este executata ca <?>i cum ar fi fost furnizata lui
              auditctl ca argumente ale liniei de comanda. Deoarece auditctl
              este cel care cite<?>te fi<?>ierul <?>i nu un shell precum bash,
              nu eluda<?>i caracterele speciale ale shell-ului. Consulta<?>i
              sec<?>iunea EXEMPLE pentru un exemplu.

       --signal semnal
              Trimite un semnal catre demonul de audit. Pentru a face acest
              lucru, trebuie sa ave<?>i privilegii root. Semnalele acceptate
              sunt TERM, HUP, USR1, USR2, CONT
               <?>i versiunile u<?>or de utilizat stop, reload, rotate,
              resume, state.

       -t     Tunde sub-arborii dupa o comanda mount.

OP<?>IUNI DE STARE
       -l     Listeaza toate regulile, cate una pe linie. Aceasta comanda
              poate avea inca doua op<?>iuni. Pute<?>i specifica fie
              op<?>iunea cheie (-k) pentru a lista regulile care corespund
              unei chei, fie op<?>iunea (-i) pentru a interpreta a0 pana la
              a3, in scopul de a determina daca valorile argumentelor apelului
              de sistem sunt corecte.

       -m text
              Trimite un mesaj din spa<?>iul utilizatorului in sistemul de
              audit. Acest lucru se poate face numai daca ave<?>i capacitatea
              CAP_AUDIT_WRITE (in mod normal, utilizatorul root are aceasta
              capacitate). Evenimentul rezultat va fi de tip USER.

       -s     Raporteaza starea subsistemului de audit al nucleului. Acesta va
              va indica valorile din nucleu care pot fi stabilite prin
              op<?>iunile -e, -f, -r <?>i -b. Valoarea pid este numarul
              procesului demonului de audit. Re<?>ine<?>i ca un pid de 0
              indica faptul ca demonul de audit nu ruleaza. Intrarea pierduta
              va va indica cate inregistrari de evenimente au fost eliminate
              din cauza depa<?>irii capacita<?>ii cozii de audit a nucleului.
              Campul backlog (de restan<?>e) indica cate inregistrari de
              evenimente sunt in prezent in coada, a<?>teptand sa fie citite
              de auditd. Aceasta op<?>iune poate fi urmata de -i pentru a
              ob<?>ine interpretarea catorva campuri.

       -v     Imprima versiunea lui auditctl.


OP<?>IUNI REGULI
       -a [list,action|action,list]
              Adauga regula la sfar<?>itul list cu action. Re<?>ine<?>i
              virgula care separa cele doua valori. Omiterea acesteia va cauza
              erori. Campurile pot fi in orice ordine. Poate fi lista,
              ac<?>iune sau ac<?>iune, lista. Urmatoarele descriu numele din
              list valide:

              task        Adauga o regula la lista pentru fiecare sarcina.
                          Aceasta lista de reguli este utilizata numai in
                          momentul crearii unei sarcini -- cand fork() sau
                          clone() sunt apelate de sarcina parinte. Cand
                          utiliza<?>i aceasta lista, trebuie sa utiliza<?>i
                          numai campuri care sunt cunoscute in momentul
                          crearii sarcinii, cum ar fi uid, gid etc.

              exit        Adauga o regula la lista de ie<?>iri syscall.
                          Aceasta lista este utilizata la ie<?>irea dintr-un
                          apel de sistem pentru a determina daca trebuie creat
                          un eveniment de audit.

              user        Adauga o regula la lista de filtre pentru mesajele
                          utilizatorilor. Aceasta lista este utilizata de
                          nucleu pentru a filtra evenimentele provenite din
                          spa<?>iul utilizatorului inainte de a le transmite
                          catre demonul de audit. Trebuie men<?>ionat ca
                          singurele campuri valide sunt: uid, auid, gid, pid,
                          subj_user, subj_role, subj_type, subj_sen, subj_clr,
                          msgtype <?>i numele executabilului. Toate celelalte
                          campuri vor fi tratate ca neconcordante. Trebuie
                          in<?>eles ca orice eveniment provenit din spa<?>iul
                          utilizatorului dintr-un proces care are
                          CAP_AUDIT_WRITE va fi inregistrat in traseul de
                          audit. Acest lucru inseamna ca cea mai probabila
                          utilizare a acestui filtru este cu reguli care au o
                          ac<?>iune de niciodata, deoarece nu trebuie facut
                          nimic pentru a permite inregistrarea evenimentelor.

              exclude     Adauga o regula la lista de filtre de excludere a
                          tipurilor de evenimente. Aceasta lista este
                          utilizata pentru a filtra evenimentele pe care nu
                          dor<?>i sa le vede<?>i. De exemplu, daca nu dori<?>i
                          sa vede<?>i niciun mesaj avc, pute<?>i utiliza
                          aceasta lista pentru a inregistra acest lucru.
                          Evenimentele pot fi excluse in func<?>ie de ID-ul
                          procesului, ID-ul utilizatorului, ID-ul grupului,
                          ID-ul utilizatorului conectat, tipul mesajului,
                          contextul subiectului sau numele executabilului.
                          Ac<?>iunea este ignorata <?>i utilizeaza valoarea
                          implicita ,,never".

              filesystem  Adauga o regula care va fi aplicata intregului
                          sistem de fi<?>iere. Sistemul de fi<?>iere trebuie
                          identificat cu un camp fstype. In mod normal, acest
                          filtru este utilizat pentru a exclude orice
                          evenimente pentru un intreg sistem de fi<?>iere, cum
                          ar fi tracefs sau debugfs.

              io_uring    Adauga<?>i o regula la filtrul syscall io_uring.
                          Regulile pentru acest filtru specifica opera<?>ia
                          syscall utilizand no<?>iunea -S syscall explicata
                          mai jos. Pute<?>i adauga un camp cheie la regula,
                          astfel incat aceasta sa poata fi grupata cu alte
                          reguli care monitorizeaza acela<?>i syscall
                          subiacent.

       Urmatoarele descriu ac<?>iunile actions valide pentru regula:

              never       Nu vor fi generate inregistrari de audit. Aceasta
                          op<?>iune poate fi utilizata pentru a suprima
                          generarea evenimentelor. In general, este preferabil
                          ca suprimarile sa se afle in partea de sus a listei,
                          nu in partea de jos. Acest lucru se datoreaza
                          faptului ca evenimentul se declan<?>eaza la prima
                          regula care se potrive<?>te.

              always (intotdeauna)
                          Aloca un context de audit, il completeaza
                          intotdeauna la momentul intrarii in apelul de sistem
                          <?>i scrie intotdeauna o inregistrare la momentul
                          ie<?>irii din apelul de sistem.

       -A list,action
              Adauga regula la inceputul listei list cu ac<?>iunea action.

       -C [f=f | f!=f]
              Construie<?>te o regula de comparare intre campuri: camp,
              opera<?>ie, camp. Pute<?>i transmite mai multe compara<?>ii
              intr-o singura linie de comanda. Fiecare trebuie sa inceapa cu
              -C. Fiecare ecua<?>ie intre campuri este combinata cu celelalte,
              precum <?>i cu ecua<?>iile care incep cu -F, pentru a declan<?>a
              o inregistrare de audit. Sunt acceptate 2 operatori: egal <?>i
              diferit. Campurile valide sunt:

              auid, uid, euid, suid, fsuid, obj_uid; and gid, egid, sgid,
              fsgid, obj_gid

              Cele doua grupuri de uid <?>i gid nu pot fi amestecate. Dar se
              poate face orice compara<?>ie in cadrul grupului. Campurile
              obj_uid/gid sunt colectate din obiectul evenimentului, cum ar fi
              un fi<?>ier sau un director.


       -d list,action
              <?>terge regula din lista list cu ac<?>iunea action. Regula este
              <?>tersa numai daca se potrive<?>te exact cu numele apelului de
              sistem <?>i cu fiecare nume <?>i valoare de camp.

       -F [n=v | n!=v | n<v | n>v | n<=v | n>=v | n&v | n&=v]
              Construie<?>te un camp de regula: nume, opera<?>ie, valoare.
              Pute<?>i avea pana la 64 de campuri transmise intr-o singura
              linie de comanda. Fiecare trebuie sa inceapa cu -F. Fiecare
              ecua<?>ie de camp este combinata cu celelalte (precum <?>i
              ecua<?>iile care incep cu -C) pentru a declan<?>a o inregistrare
              de audit. Sunt acceptate 8 operatori - egal, inegal, mai mic
              decat, mai mare decat, mai mic sau egal <?>i mai mare sau egal,
              masca de bi<?>i <?>i test de bi<?>i. Testul de bi<?>i va combina
              valorile <?>i va verifica daca sunt egale, iar masca de bi<?>i
              va combina doar valorile. Campurile care accepta un ID de
              utilizator pot avea in schimb numele utilizatorului; programul
              va converti numele in ID de utilizator. Acela<?>i lucru este
              valabil <?>i pentru numele de grup. Campurile valide sunt:

              a0, a1, a2, a3
                          Respectiv, primele 4 argumente ale unui apel de
                          sistem. Re<?>ine<?>i ca argumentele de tip <?>ir nu
                          sunt acceptate. Acest lucru se datoreaza faptului ca
                          nucleului i se transmite un indicator catre <?>ir.
                          Este pu<?>in probabil ca declan<?>area pe o valoare
                          de adresa a indicatorului sa func<?>ioneze. Prin
                          urmare, atunci cand utiliza<?>i aceasta func<?>ie,
                          ar trebui sa o utiliza<?>i numai pe valori numerice.
                          Este foarte probabil ca aceasta sa fie utilizata pe
                          platforme care multiplexeaza opera<?>iuni de tip
                          soclu sau IPC.

              arch        Arhitectura CPU a apelului de sistem. Arhitectura
                          poate fi gasita executand comanda <<uname -m>>. Daca
                          nu cunoa<?>te<?>i arhitectura ma<?>inii dvs., dar
                          dori<?>i sa utiliza<?>i tabelul de apeluri de sistem
                          pe 32 de bi<?>i <?>i ma<?>ina dvs. accepta 32 de
                          bi<?>i, pute<?>i utiliza <?>i b32 pentru
                          arhitectura. Acela<?>i lucru se aplica <?>i
                          tabelului de apeluri de sistem pe 64 de bi<?>i,
                          pute<?>i utiliza b64.  In acest fel, pute<?>i scrie
                          reguli care sunt oarecum independente de
                          arhitectura, deoarece tipul de familie va fi
                          detectat automat. Cu toate acestea, apelurile de
                          sistem pot fi specifice arhitecturii <?>i ceea ce
                          este disponibil pe x86_64 poate sa nu fie disponibil
                          pe ppc. Directiva arch trebuie sa precede op<?>iunea
                          ,,-S", astfel incat auditctl sa <?>tie ce tabel
                          intern sa utilizeze pentru a cauta numerele
                          apelurilor de sistem.

              auid        ID-ul original cu care s-a conectat utilizatorul.
                          Este o abreviere de la audit uid. Uneori este
                          denumit loginuid. Se poate utiliza fie textul
                          contului de utilizator, fie numarul acestuia.

              devmajor    Numarul major al dispozitivului

              devminor    Numarul minor al dispozitivului

              dir         Ruta completa a directorului de supravegheat.
                          Aceasta va plasa o supraveghere recursiva asupra
                          directorului <?>i tuturor sub-arborilor acestuia.
                          Poate fi utilizata numai pe lista de ie<?>ire. A se
                          vedea ,,-w".

              egid        ID-ul grupului efectiv. Poate fi numeric sau numele
                          grupului.

              euid        ID-ul utilizatorului efectiv. Poate fi numeric sau
                          numele contului utilizatorului.

              exe         Ruta absoluta catre aplica<?>ia la care se va aplica
                          aceasta regula in timpul executarii. Accepta
                          operatorii = <?>i !=. Re<?>ine<?>i ca pute<?>i
                          utiliza aceasta op<?>iune o singura data pentru
                          fiecare regula.

              exit        Valoarea de ie<?>ire dintr-un apel de sistem. Daca
                          codul de ie<?>ire este o errno, pute<?>i utiliza
                          <?>i reprezentarea text.

              fsgid       ID-ul grupului sistemului de fi<?>iere. Poate fi
                          numeric sau numele grupului.

              fstype      Tipul sistemului de fi<?>iere. Acesta este utilizat
                          impreuna cu lista de reguli ale sistemului de
                          fi<?>iere. Singurele valori acceptate sunt debugfs
                          <?>i tracefs.

              fsuid       ID-ul utilizatorului sistemului de fi<?>iere. Poate
                          fi numeric sau numele contului utilizatorului.

              filetype    Tipul fi<?>ierului <?>inta. Poate fi file, dir,
                          socket, link, character, block sau fifo.

              gid         ID-ul grupului. Poate fi numeric sau numele
                          grupului.

              inode       Numarul nodului-i

              key         Define<?>te o cheie de filtrare pentru o regula de
                          audit. Cheia de filtrare este un <?>ir de text
                          arbitrar care poate avea o lungime de pana la 31 de
                          octe<?>i. Aceasta poate identifica in mod unic
                          inregistrarile de audit generate de o regula.
                          Utilizarea tipica este atunci cand ave<?>i mai multe
                          reguli care impreuna satisfac o cerin<?>a de
                          securitate. Valoarea cheii poate fi cautata cu
                          ausearch, astfel incat, indiferent de regula care a
                          declan<?>at evenimentul, pute<?>i gasi rezultatele
                          acestuia. Cheia poate fi utilizata <?>i pentru
                          <?>tergerea tuturor (-D) <?>i listarea regulilor
                          (-l) pentru a selecta reguli cu o cheie specifica.
                          Pute<?>i avea mai multe chei pe o regula daca
                          dori<?>i sa pute<?>i cauta evenimente inregistrate
                          in mai multe moduri sau daca ave<?>i un plugin
                          auditd care utilizeaza o cheie pentru a ajuta la
                          analizare.

              msgtype     Aceasta este utilizata pentru a corela tipul de
                          inregistrare al evenimentului. Aceasta trebuie
                          utilizata numai in listele de excludere sau de
                          filtrare a utilizatorilor.

              obj_uid     UID-ul obiectului

              obj_gid     GID-ul obiectului

              obj_user    Utilizatorul SE Linux al resursei

              obj_role    Rolul SE Linux al resursei

              obj_type    Tipul SE Linux al resursei

              obj_lev_low Nivelul inferior al resursei SE Linux

              obj_lev_high
                          Nivelul superior al resursei SE Linux

              path        Insereazaa<?>i o supraveghere pentru obiectul
                          sistemului de fi<?>iere la ruta. Nu pute<?>i insera
                          o supraveghere in directorul de nivel superior.
                          Acest lucru este interzis de nucleu. Caracterele
                          joker nu sunt acceptate <?>i vor genera un
                          avertisment. Supravegherile func<?>ioneaza prin
                          urmarirea interna a nodului-i. Aceasta poate fi
                          utilizata numai pe lista de ie<?>ire.

              perm        Filtru de permisiuni pentru opera<?>ii cu fi<?>iere.
                          Furniza<?>i tipul de acces pe care il va declan<?>a
                          un sistem de monitorizare a fi<?>ierelor. r=citire,
                          w=scriere, x=executare, a=modificare atribut. Aceste
                          permisiuni nu sunt permisiunile standard pentru
                          fi<?>iere, ci mai degraba tipul de apel de sistem
                          care ar face acest lucru. Apelurile de sistem de
                          citire <?>i scriere sunt omise din acest set,
                          deoarece ar supraincarca jurnalele. In schimb,
                          pentru citiri sau scrieri, se verifica fanioanele de
                          deschidere pentru a vedea ce permisiune a fost
                          solicitata. Campul perm poate fi utilizat numai in
                          lista de ie<?>ire. Pute<?>i utiliza acest lucru fara
                          a specifica un apel de sistem, iar nucleul va
                          selecta apelurile de sistem care satisfac
                          permisiunile de acces solicitate. Acest lucru
                          necesita, de asemenea, furnizarea unui parametru
                          arch inainte de campul perm. In acest fel, nucleul
                          poate determina mai bine ce apeluri de sistem sunt
                          necesare. Nefurnizarea unui parametru arch va avea
                          ca rezultat supunerea apelurilor de sistem all la
                          audit. Acest lucru va reduce performan<?>a
                          sistemului.


              pers        Numarul personalita<?>ii sistemului de operare

              pid         ID-ul procesului

              ppid        ID-ul procesului parinte

              saddr_fam   Numarul familiei de adrese se gase<?>te in
                          /usr/include/bits/socket.h. De exemplu, IPv4 va fi
                          2, iar IPv6 va fi 10.

              sessionid   ID-ul sesiunii de conectare a utilizatorului

              subj_user   Utilizator SE Linux al programului

              subj_role   Rolul SE Linux al programului

              subj_type   Tipul SE Linux al programului

              subj_sen    Sensibilitatea SE Linux a programului

              subj_clr    Autorizarea SE Linux a programului

              sgid        ID-ul grupului salvat. Consulta<?>i pagina de manual
                          getresgid(2).

              success     Daca valoarea de ie<?>ire este >= 0, aceasta este
                          true/yes, in caz contrar este false/no. Cand
                          scrie<?>i o regula, utiliza<?>i 1 pentru true/yes
                          <?>i 0 pentru false/no.

              suid        ID-ul utilizatorului salvat. Consulta<?>i pagina de
                          manual getresuid(2).

              uid         ID-ul utilizatorului. Poate fi numeric sau numele
                          contului utilizatorului.

       -k cheie
              Define<?>te o cheie de filtrare pentru o regula de audit.
              Aceasta este depreciata atunci cand este utilizata cu
              supravegheri. Converte<?>te orice supravegheri in forma syscall
              a regulilor. Este inca valabila pentru utilizarea cu reguli de
              <?>tergere sau listare.

       -p [r|w|x|a]
              Descrie tipul de acces la permisiuni pe care il va declan<?>a
              supravegherea sistemului de fi<?>iere. Aceasta func<?>ie este
              invechita. Converti<?>i supravegherile in forma syscall.

       -S [Nume sau numar sysscall|all]
              Se poate utiliza oricare dintre numele sau numarul apelului de
              sistem. Se poate utiliza <?>i cuvantul ,,all". Daca apelul de
              sistem dat este efectuat de un program, atunci incepe o
              inregistrare de audit. Daca este specificata o regula de camp
              <?>i nu este specificat niciun apel de sistem, se va utiliza
              implicit toate apelurile de sistem. De asemenea, pute<?>i
              specifica mai multe apeluri de sistem in aceea<?>i regula
              utilizand mai multe op<?>iuni ,,-S" in aceea<?>i regula. Acest
              lucru imbunata<?>e<?>te performan<?>a, deoarece trebuie evaluate
              mai pu<?>ine reguli. Alternativ, pute<?>i transmite o lista de
              nume de apeluri de sistem separate prin virgule. Daca
              utiliza<?>i un sistem bi-arch, cum ar fi x86_64, trebuie sa
              <?>ti<?>i ca auditctl preia pur <?>i simplu textul, il cauta
              pentru arhitectura nativa (in acest caz b64) <?>i trimite regula
              respectiva catre nucleu. Daca nu exista directive arch
              suplimentare, ACEASTA SE VA APLICA ATAT SYSCALL-URILOR PE 32 DE
              BITI, CAT <?>I CELOR PE 64 DE BITI. Acest lucru poate avea
              efecte nedorite, deoarece nu exista nicio garan<?>ie ca orice
              apel de sistem are acela<?>i numar atat pe interfe<?>ele pe 32
              de bi<?>i, cat <?>i pe cele pe 64 de bi<?>i. Probabil ve<?>i
              dori sa controla<?>i acest lucru <?>i sa scrie<?>i doua reguli,
              una cu arhitectura egala cu b32 <?>i una cu b64, pentru a va
              asigura ca nucleul gase<?>te evenimentele pe care le dori<?>i.
              Consulta<?>i discu<?>ia despre campul arhitectura pentru mai
              multe informa<?>ii.

       -w ruta
              Plaseaza o monitorizare pe ruta. Daca ruta este un fi<?>ier,
              este aproape la fel ca utilizarea op<?>iunii ,,-F ruta" intr-o
              regula syscall. Daca monitorizarea este pe un director, este
              aproape la fel ca utilizarea op<?>iunii ,,-F dir" intr-o regula
              syscall. Forma ,,-w" de scriere a supravegherilor este pentru
              compatibilitate cu versiunile anterioare <?>i este depreciata
              din cauza performan<?>ei slabe a sistemului. Converti<?>i
              supravegherile de aceasta forma in forma bazata pe apel de
              sistem. Singurele op<?>iuni valide atunci cand utiliza<?>i o
              supraveghere sunt ,,-p" <?>i ,,-k".

       -W ruta
              Elimina o supraveghere pentru obiectul sistemului de fi<?>iere
              din ruta. Regula trebuie sa corespunda exact. Pentru mai multe
              informa<?>ii, consulta<?>i discu<?>ia de la op<?>iunea -d.

SFATURI PENTRU PERFORMAN<?>A
       Regulile syscall sunt evaluate pentru fiecare apel de sistem pentru
       fiecare program. Daca ave<?>i 10 reguli syscall, fiecare program din
       sistemul dvs. va intarzia in timpul unui apel de sistem, in timp ce
       sistemul de audit evalueaza fiecare regula. Prea multe reguli syscall
       vor afecta performan<?>a. Incerca<?>i sa combina<?>i cat mai multe
       dintre ele ori de cate ori filtrul, ac<?>iunea, cheia <?>i campurile
       sunt identice. De exemplu:

       auditctl -a always,exit -F arch=b64 -S openat -F success=0
       auditctl -a always,exit -F arch=b64 -S truncate -F success=0

       ar putea fi rescrisa ca o singura regula:

       auditctl -a always,exit -F arch=b64 -S openat -S truncate -F success=0

       De asemenea, incerca<?>i sa utiliza<?>i auditarea sistemului de
       fi<?>iere ori de cate ori este posibil. Acest lucru imbunata<?>e<?>te
       performan<?>a. De exemplu, daca dori<?>i sa captura<?>i toate
       deschiderile <?>i trunchierile e<?>uate, ca in exemplul de mai sus, dar
       va intereseaza doar fi<?>ierele din /etc <?>i nu va intereseaza cele
       din /usr sau /sbin, pute<?>i utiliza aceasta regula:

       auditctl -a always,exit -F arch=b64 -S openat,truncate -F dir=/etc -F success=0

       Aceasta va avea o performan<?>a mai buna, deoarece nucleul nu o va
       evalua la fiecare apel de sistem. Va fi gestionata de codul de audit al
       sistemului de fi<?>iere <?>i verificata numai la apelurile de sistem
       legate de sistemul de fi<?>iere.

EXEMPLE
       Pentru a vedea toate apelurile de sistem efectuate de un program
       specific:

       # Dupa pid:
       auditctl -a always,exit -S all -F pid=1005
       # Dupa ruta executabilului
       auditctl -a always,exit -S all -F exe=/usr/bin/ls

       Pentru a vedea fi<?>ierele deschise de un anumit utilizator:

       auditctl -a always,exit -S openat -F auid=510

       Pentru a vedea apelurile openat nereu<?>ite:

       auditctl -a always,exit -S openat -F success=0

       Pentru a urmari modificarile unui fi<?>ier (2 moduri de exprimare):

       auditctl -w /etc/shadow -p wa # Re<?>ine<?>i ca acest lucru incetine<?>te sistemul.
       auditctl -a always,exit -F arch=b64 -F path=/etc/shadow -F perm=wa

       Pentru a monitoriza recursiv un director in cautarea modificarilor (2
       moduri de exprimare):

       auditctl -w /etc/ -p wa # Re<?>ine<?>i ca acest lucru incetine<?>te sistemul.
       auditctl -a always,exit -F arch=b64 -F dir=/etc/ -F perm=wa

       Pentru a vedea daca un administrator acceseaza fi<?>ierele altor
       utilizatori:

       auditctl -a always,exit -F dir=/home/ -F uid=0 -C auid!=obj_uid

       Acesta este un exemplu de fi<?>ier cu reguli:

       # Elimina toate regulile existente
       -D
       # Nu inregistreaza niciodata invocarile sudo
       -A exclude,always -F exe=/usr/bin/sudo


DEZACTIVAT IN MOD IMPLICIT
       Pe multe sisteme, auditd este configurat sa instaleze o regula -a
       never,sarcina in mod implicit. Aceasta regula face ca fiecare proces
       nou sa omita toate procesarile regulilor de audit. Acest lucru se face
       de obicei pentru a evita o mica suprasarcina de performan<?>a impusa de
       auditarea apelurilor de sistem. Daca dori<?>i sa utiliza<?>i auditd,
       trebuie sa elimina<?>i aceasta regula <?>tergand 10-no-audit.rules <?>i
       adaugand 10-base-config.rules in directorul regulilor de audit.

       Daca a<?>i definit reguli de audit care nu se potrivesc atunci cand ar
       trebui, verifica<?>i <<auditctl -l>> pentru a va asigura ca nu exista
       nicio regula never,task acolo.


FI<?>IERE
       /etc/audit/audit.rules /etc/audit/audit-stop.rules


CONSULTA<?>I <?>I
       audit.rules(7), ausearch(8), aureport(8), auditd(8).


AUTOR
       Steve Grubb

TRADUCERE
       Traducerea in limba romana a acestui manual a fost facuta de Remus-
       Gabriel Chelu <remusgabriel.chelu@disroot.org>

       Aceasta traducere este documenta<?>ie gratuita; citi<?>i Licen<?>a
       publica generala GNU Versiunea 3
       <https://www.gnu.org/licenses/gpl-3.0.html> sau o versiune ulterioara
       cu privire la condi<?>ii privind drepturile de autor.  NU se asuma
       NICIO RESPONSABILITATE.

       Daca gasi<?>i erori in traducerea acestui manual, va rugam sa
       trimite<?>i un e-mail la <translation-team-ro@lists.sourceforge.net>.

Red Hat                         septembrie 2023                    AUDITCTL(8)