AUSEARCH(8)         Utilitare de administrare a sistemului         AUSEARCH(8)

NUME
       ausearch - un instrument pentru interogarea jurnalelor demonului de
       audit

SINOPSIS
       ausearch [op<?>iuni]

DESCRIERE
       ausearch este un instrument care poate interoga jurnalele demonului de
       audit pe baza evenimentelor, in func<?>ie de diferite criterii de
       cautare. Utilitarul ausearch poate accepta <?>i intrari de la intrarea
       standard, atata timp cat intrarea este reprezentata de datele brute din
       jurnal. Fiecare op<?>iune de linie de comanda data formeaza o
       instruc<?>iune ,,<?>I". De exemplu, cautarea cu -m <?>i -ui inseamna
       returnarea evenimentelor care au atat tipul solicitat, cat <?>i ID-ul
       utilizatorului dat. O excep<?>ie o constituie op<?>iunile -m <?>i -n;
       intr-o cautare sunt permise mai multe tipuri de inregistrari <?>i
       noduri, care vor returna orice nod <?>i inregistrare ce coincid.

       De asemenea, trebuie men<?>ionat ca fiecare excursie syscall din
       spa<?>iul utilizatorului in nucleu <?>i inapoi in spa<?>iul
       utilizatorului are un ID de eveniment unic. Orice eveniment audiabil
       declan<?>at in timpul acestei excursii are acela<?>i ID, astfel incat
       acestea sa poata fi corelate.

       Diferite par<?>i ale nucleului pot adauga inregistrari suplimentare. De
       exemplu, un eveniment de audit pe apelul de sistem ,,open" va determina
       nucleul sa emita <?>i o inregistrare PATH cu numele fi<?>ierului.
       Utilitarul ausearch va prezenta toate inregistrarile care alcatuiesc un
       eveniment impreuna. Acest lucru ar putea insemna ca, chiar daca
       cauta<?>i un anumit tip de inregistrare, evenimentele rezultate pot
       con<?>ine inregistrari SYSCALL.

       De asemenea, re<?>ine<?>i ca nu toate tipurile de inregistrari con<?>in
       informa<?>iile solicitate. De exemplu, o inregistrare PATH nu con<?>ine
       un nume de gazda sau un loginuid.


OP<?>IUNI
       -a, --event id-eveniment-audit
              Cauta un eveniment pe baza ID-ului de eveniment
              id-eveniment-audit dat. Mesajele incep intotdeauna cu ceva
              precum msg=audit(1116360555.329:2401771). ID-ul evenimentului
              este numarul care urmeaza dupa ,,:". Toate evenimentele de audit
              inregistrate din apelul de sistem al unei aplica<?>ii au
              acela<?>i ID de eveniment de audit. Un al doilea apel de sistem
              efectuat de aceea<?>i aplica<?>ie va avea un ID de eveniment
              diferit. In acest fel, ele sunt unice.

       --arch CPU
              Cauta evenimente pe baza unei arhitecturi CPU specifice.  Daca
              nu cunoa<?>te<?>i arhitectura ma<?>inii dvs., dar dori<?>i sa
              utiliza<?>i tabelul syscall pe 32 de bi<?>i <?>i ma<?>ina dvs.
              accepta 32 de bi<?>i, pute<?>i utiliza, de asemenea, b32 pentru
              arhitectura. Acela<?>i lucru se aplica <?>i tabelului syscall pe
              64 de bi<?>i, pute<?>i utiliza b64. Arhitectura ma<?>inii dvs.
              poate fi gasita executand comanda ,,uname -m".

       -c, --comm nume-comun
              Cauta un eveniment pe baza numelui nume-comun dat. Numele comun
              este numele executabilului din structura sarcinii.

       --debug
              Scrie evenimentele incorect formatate care sunt omise la
              ie<?>irea de erori standard.

       --checkpoint fi<?>ier-punct_verificare
              Verifica ie<?>irea intre invocarile succesive ale ausearch,
              astfel incat numai evenimentele care nu au fost afi<?>ate
              anterior sa fie afi<?>ate in invocarile ulterioare.

              Un eveniment auditd este alcatuit din una sau mai multe
              inregistrari. La procesarea evenimentelor, ausearch define<?>te
              evenimentele ca fiind complete sau incomplete.  Un eveniment
              complet este fie un eveniment cu o singura inregistrare, fie
              unul al carui moment de producere a avut loc cu 2 secunde in
              urma fa<?>a de evenimentul procesat in prezent.

              Un punct de verificare se realizeaza prin inregistrarea ultimei
              ie<?>iri a evenimentului finalizat impreuna cu numarul
              dispozitivului <?>i nodul-i al fi<?>ierului in care a aparut
              ultimul eveniment finalizat in fi<?>ier-punct_verificare. La o
              invocare ulterioara, ausearch va incarca aceste date de punct de
              verificare <?>i, pe masura ce proceseaza fi<?>ierele jurnal, va
              elimina toate evenimentele finalizate pana cand va gasi unul
              care corespunde punctului de verificare. In acest moment, va
              incepe sa afi<?>eze evenimentele finalizate.

              Daca fi<?>ierul sau ultimul eveniment verificat nu sunt gasite,
              va aparea una dintre numeroasele erori <?>i ausearch se va
              inchide. Consulta<?>i EXIT STATUS pentru detalii.


       --eoe-timeout secunde
              Stabile<?>te timpul de expirare pentru analizarea sfar<?>itului
              evenimentului. Pentru detalii, consulta<?>i end_of_event_timeout
              in auditd.conf(5). Re<?>ine<?>i ca stabilirea acestei valori va
              suprascrie orice valoare configurata gasita in
              ,,/etc/auditd/auditd.conf".

       -e, --exit cod-ie<?>ire_sau_errno
              Cauta un eveniment pe baza apelului de sistem dat cod de
              ie<?>ire sau errno.

       --escape op<?>iune
              Aceasta op<?>iune determina daca ie<?>irea este eludapata pentru
              a face con<?>inutul mai sigur pentru anumite utilizari.
              Op<?>iunile sunt raw , tty , shell <?>i shell_quote. Fiecare mod
              include caracterele modului precedent <?>i eludeaza mai multe
              caractere. Adica shell include toate caracterele eludate de tty
              <?>i adauga altele. tty este op<?>iunea implicita.

       --extra-keys
              Cand modul format este csv, aceasta op<?>iune va adauga o
              coloana finala cu informa<?>ii cheie, daca acestea exista pentru
              eveniment. Acest lucru se va intampla numai in cazul
              inregistrarilor SYSCALL care au fost rezultatul declan<?>arii
              unei reguli de audit care define<?>te o cheie.

       --extra-labels
              Cand modul format este csv, aceasta op<?>iune va adauga coloane
              cu informa<?>ii despre etichetele subiectului <?>i obiectului,
              daca acestea exista.

       --extra-obj2
              Cand modul format este csv, aceasta op<?>iune va adauga coloane
              cu informa<?>ii despre un al doilea obiect, daca acesta exista.
              Este rar ca un al doilea obiect sa faca parte dintr-un
              inregistrare. Cateva exemple sunt atunci cand un fi<?>ier este
              redenumit sau cand un dispozitiv este montat pe o ruta.

       --extra-time
              Cand modul format este csv, aceasta op<?>iune va adauga coloane
              cu informa<?>ii despre timpul defalcat pentru a facilita crearea
              de subseturi.

       -f, --file nume-fi<?>ier
              Cauta un eveniment pe baza fi<?>ierului nume-fi<?>ier dat.
              Argumentul va corespunde atat fi<?>ierelor normale, cat <?>i
              soclurilor af_unix.

       --format op<?>iune
              Evenimentele care corespund criteriilor de cautare sunt
              formatate utilizand aceasta op<?>iune. Formatele acceptate sunt:
              raw, default, interpret, csv <?>i text. Op<?>iunea raw este
              descrisa in sec<?>iunea dedicata op<?>iunii liniei de comanda
              --raw. Op<?>iunea default este cea pe care o ob<?>ine<?>i atunci
              cand nu sunt transmise op<?>iuni de formatare. Aceasta include o
              linie ca separator vizual care indica marca temporala, urmata de
              inregistrarile evenimentului. Op<?>iunea interpret este
              explicata in sec<?>iunea dedicata op<?>iunii liniei de comanda
              -i. Op<?>iunea csv afi<?>eaza rezultatele cautarii ca un
              eveniment normalizat in format CSV (comma separated value -
              valori separate prin virgule), potrivit pentru importul in
              programe analitice. Op<?>iunea text transforma evenimentul
              intr-o propozi<?>ie in limba engleza, mai u<?>or de in<?>eles
              decat alte op<?>iuni, dar cu pre<?>ul pierderii detaliilor. In
              majoritatea cazurilor, acest lucru este perfect acceptabil,
              deoarece evenimentul original pastreaza toate informa<?>iile
              originale.

       -ga, --gid-all id-grup
              Cauta un eveniment cu ID-ul grupului efectiv sau cu ID-ul
              grupului care corespunde cu ID-ul grupului dat.

       -ge, --gid-effective id-grup-efectiv
              Cauta<?>i un eveniment cu ID-ul id-grup-efectiv sau numele
              grupului dat.

       -gi, --gid id-grup
              Cauta un eveniment cu ID-ul de grup sau numele de grup dat.

       -h, --help
              Ajutor

       -hn, --host nume-gazda
              Cauta un eveniment cu numele de gazda nume gazda dat. Numele
              gazdei poate fi fie un nume de gazda, un nume de domeniu complet
              calificat sau o adresa de re<?>ea numerica. Nu se incearca
              rezolvarea adreselor numerice in nume de domeniu sau alias.
              Aceasta cautare coreleaza de obicei cu campul <<addr>> (adresa)
              sau <<host>> (gazda) al evenimentelor de audit. A se vedea <?>i
              comanda ,,--node", care cauta in campul <<node>> (nod).

       -i, --interpret
              Interpreteaza entita<?>ile numerice in text. De exemplu, uid
              este convertit in numele contului. Daca jurnalele de audit nu
              sunt imboga<?>ite, conversia se face utilizand resursele curente
              ale ma<?>inii pe care se executa cautarea. Daca a<?>i redenumit
              conturile sau nu ave<?>i acelea<?>i conturi pe ma<?>ina dvs.,
              pute<?>i ob<?>ine rezultate in<?>elatoare. Daca jurnalele sunt
              imboga<?>ite, se utilizeaza datele suplimentare pentru a efectua
              conversia. Acest lucru permite raportarea precisa a jurnalelor,
              chiar <?>i atunci cand se executa pe o ma<?>ina diferita de cea
              de unde provin jurnalele originale.

       -if, --input nume-fi<?>ier | director
              Utilizeaza fi<?>ierul sau directorul specificat in locul
              jurnalelor. Acest lucru faciliteaza analiza in cazul in care
              jurnalele au fost mutate pe un alt calculator sau doar o parte
              din jurnal a fost salvata. Lungimea rutei este limitata la 4064
              octe<?>i.

       --input-logs
              Utilizeaza loca<?>ia fi<?>ierului jurnal din auditd.conf ca
              intrare pentru cautare. Acest lucru este necesar daca
              utiliza<?>i ausearch dintr-o sarcina cron.

       --just-one
              Opre<?>te dupa emiterea primului eveniment care corespunde
              criteriilor de cautare.

       -k, --key <?>ir-cheie
              Cauta un eveniment pe baza <?>irului <?>ir-cheie dat.

       -l, --line-buffered
              Gole<?>te ie<?>irea pe fiecare linie. Foarte util atunci cand
              ie<?>irea standard este conectata la o conducta <?>i strategia
              implicita de stocare in bloc in memoria tampon nu este de dorit.
              Poate afecta performan<?>a.

       -m, --message tip-mesaj | lista-tip-mesaj-separate-prin-virgule
              Cauta un eveniment care corespunde tipului de mesaj tip-mesaj;
              (tipurile de mesaje sunt cunoscute <?>i sub denumirea de tipuri
              de inregistrari). De asemenea, pute<?>i introduce o lista de
              tipuri de mesaje separate prin virgule sau mai multe tipuri de
              mesaje individuale, fiecare cu propria op<?>iune -m. Exista un
              tip de mesaj ALL care nu exista in jurnalele reale. Acesta va
              permite sa ob<?>ine<?>i toate mesajele din sistem. Lista
              tipurilor de mesaje valide este lunga. Programul va afi<?>a
              lista ori de cate ori nu se transmite niciun tip de mesaj cu
              acest parametru. Tipul de mesaj poate fi text sau numeric. Daca
              introduce<?>i o lista, aceasta poate con<?>ine numai virgule
              <?>i fara spa<?>ii intre elemente.

       -n, --node
              Cauta evenimente provenite de la o anumita ma<?>ina. Sunt
              permise mai multe noduri, iar daca vreunul dintre noduri se
              potrive<?>te, evenimentul este identificat. Aceasta cautare
              utilizeaza campul nod din evenimentele de audit. A se vedea <?>i
              comanda ,,--host", care cauta evenimente legate de
              informa<?>iile despre gazda in traseul de audit.

       -o, --object <?>ir-context_SE-Linux
              Cauta evenimentul cu <?>ir-context_SE-Linux (obiect) care
              corespunde <?>irului.

       -p, --pid id-proces
              Cauta un eveniment care corespunde ID-ului de proces id-proces
              dat.

       -pp, --ppid id-proces-parinte
              Cauta un eveniment care corespunde ID-ului procesului parinte
              id-proces-parinte dat.

       -r, --raw
              Ie<?>irea este complet neformatata. Acest lucru este util pentru
              extragerea inregistrarilor intr-un fi<?>ier care poate fi
              interpretat in continuare de instrumentele de audit sau atunci
              cand se transfera catre alte instrumente de audit.

       -sc, --syscall nume_sau_valoare-syscall
              Cauta un eveniment care corespunde cu syscall dat. Pute<?>i
              introduce fie valoarea numerica syscall, fie numele syscall.
              Daca introduce<?>i numele syscall, se va utiliza tabelul syscall
              pentru ma<?>ina pe care o utiliza<?>i.

       -se, --context <?>ir-context_SE-Linux
              Cauta evenimente cu <?>ir-context_SE-Linux/subiect sau
              <?>ir-context_SE-Linux/obiect care corespund <?>irului dat.

       --session ID-sesiune-conectare
              Cauta evenimente care corespund ID-ului sesiunii de conectare
              dat. Acest atribut al procesului este stabilit cand un
              utilizator se conecteaza <?>i poate lega orice proces de o
              anumita conectare a utilizatorului.

       -su, --subject <?>ir-context_SE-Linux
              Cauta evenimentul cu <?>ir-context_SE-Linux (subiect) care
              corespunde <?>irului.

       -sv, --success valoare-succes
              Cauta un eveniment care corespunde valorii valoare-succes date.
              Valorile admise sunt yes <?>i no.

       -te, --end [data-sfar<?>it] [ora-sfar<?>it]
              Cauta evenimente cu marcaje temporale egale sau anterioare orei
              de incheiere specificate. Formatul orei de incheiere depinde de
              configura<?>ia regionala. Pute<?>i verifica formatul
              configura<?>iei regionale executand date '+%x'). Daca data este
              omisa, se presupune today. Daca ora este omisa, se presupune
              now. Utiliza<?>i ora in format de 24 de ore in loc de AM sau PM
              pentru a specifica ora. Un exemplu de data utilizand
              configura<?>ia regionala en_US.utf8 este 09/03/2009. Un exemplu
              de ora este 18:00:00. Formatul de data acceptat este
              influen<?>at de variabila de mediu LC_TIME.

              De asemenea, pute<?>i utiliza cuvintele: now (acum), recent
              (recent), this-hour (aceasta ora), boot (pornire), today
              (astazi), yesterday (ieri), this-week (saptamana aceasta),
              week-ago (saptamana trecuta), this-month (luna aceasta),
              this-year (anul acesta). Now inseamna incepand de acum. Recent
              inseamna acum 10 minute. Boot inseamna ora exacta, la secunda,
              la care sistemul a fost pornit ultima data. Today inseamna acum.
              Yesterday inseamna 1 secunda dupa miezul nop<?>ii din ziua
              precedenta. This-week inseamna incepand cu 1 secunda dupa miezul
              nop<?>ii din ziua 0 a saptamanii determinate de configura<?>ia
              regionala (vede<?>i localtime). Week-ago inseamna 1 secunda dupa
              miezul nop<?>ii exact acum 7 zile. This-month inseamna 1 secunda
              dupa miezul nop<?>ii in ziua 1 a lunii. This-year inseamna 1
              secunda dupa miezul nop<?>ii in prima zi a primei luni.

       -ts, --start [data-inceput] [ora-inceput]
              Cauta evenimente cu marcaje temporale egale sau ulterioare datei
              de incepere specificate. Formatul datei de incepere depinde de
              configura<?>ia regionala. Pute<?>i verifica formatul
              configura<?>iei regionale executand date '+%x'). Daca data este
              omisa, se presupune today (astazi). Daca ora este omisa, se
              presupune midnight (miezul nop<?>ii). Utiliza<?>i ora in format
              de 24 de ore in loc de AM sau PM pentru a specifica ora. Un
              exemplu de data utilizand configura<?>ia regionala en_US.utf8
              este 09/03/2009. Un exemplu de ora este 18:00:00. Formatul de
              data acceptat este influen<?>at de variabila de mediu LC_TIME.

              De asemenea, pute<?>i utiliza cuvintele: now (acum), recent
              (recent), this-hour (aceasta ora), boot (pornire), today
              (astazi), yesterday (ieri), this-week (saptamana aceasta),
              week-ago (saptamana trecuta), this-month (luna aceasta),
              this-year (anul acesta). Now inseamna incepand de acum. Recent
              inseamna acum 10 minute. Boot inseamna ora exacta, la secunda,
              la care sistemul a fost pornit ultima data. Today inseamna acum.
              Yesterday inseamna 1 secunda dupa miezul nop<?>ii din ziua
              precedenta. This-week inseamna incepand cu 1 secunda dupa miezul
              nop<?>ii din ziua 0 a saptamanii determinate de configura<?>ia
              regionala (vede<?>i localtime). Week-ago inseamna 1 secunda dupa
              miezul nop<?>ii exact acum 7 zile. This-month inseamna 1 secunda
              dupa miezul nop<?>ii in ziua 1 a lunii. This-year inseamna 1
              secunda dupa miezul nop<?>ii in prima zi a primei luni.

              checkpoint inseamna ca ausearch va utiliza marca temporala
              gasita intr-un fi<?>ier de puncte de verificare valid, ignorand
              nodul-i, dispozitivul, seria, nodul <?>i tipul de eveniment
              inregistrate, care se gasesc, de asemenea, intr-un fi<?>ierde
              puncte de verificare (checkpoint). In esen<?>a, aceasta este
              ac<?>iunea de recuperare in cazul in care o invocare a ausearch
              cu o op<?>iune ,,checkpoint" (de punct de verificare) e<?>ueaza
              cu o stare de ie<?>ire de 10, 11 sau 12. Ar putea fi utilizata
              intr-un script shell, de exemplu:

                   ausearch --checkpoint /etc/audit/auditd_checkpoint.txt -i
                   _au_status=$?
                   if test ${_au_status} eq 10 -o ${_au_status} eq 11 -o ${_au_status} eq 12
                   then
                     ausearch --checkpoint /etc/audit/auditd_checkpoint.txt --start checkpoint -i
                   fi

       -tm, --terminal terminal
              Cauta un eveniment care corespunde valorii terminal date. Unii
              demoni, precum cron <?>i atd, utilizeaza numele demonului pentru
              terminal.

       -ua, --uid-all id-utilizator
              Cauta un eveniment cu ID-ul utilizatorului, ID-ul utilizatorului
              efectiv sau ID-ul utilizatorului de conectare (auid) care
              corespunde cu ID-ul utilizatorului dat.

       -ue, --uid-effective id-utilizator-efectiv
              Cauta un eveniment cu ID-ul de utilizator efectiv
              id-utilizator-efectiv dat.

       -ui, --uid id-utilizator
              Cauta un eveniment cu ID-ul de utilizator id-utilizator dat.

       -ul, --loginuid id-autentificare
              Cauta un eveniment cu ID-ul de utilizator id-autentificare dat.
              Toate programele de intrare care sunt ,,PAMificate" trebuie
              configurate cu pam_loginuid necesar pentru sesiune, pentru ca
              cautarea pe loginuid (auid) sa fie precisa.

       -uu, --uuid uuid-invitat
              Cauta un eveniment cu UUID-ul invitatului dat.

       -v, --version
              Afi<?>eaza versiunea <?>i iese

       -vm, --vm-name nume-invitat
              Cauta un eveniment cu numele de invitat nume-invitat dat.

       -w, --word
              Potrivirile bazate pe <?>iruri trebuie sa corespunda intregului
              cuvant. Aceasta categorie de potriviri include: nume de
              fi<?>ier, nume de gazda, terminal, chei <?>i context SE Linux.

       -x, --executable executabil
              Cauta un eveniment care corespunde numelui executabilui dat.


STARE DE IE<?>IRE
       0    daca totul este OK,

       1    daca nu se gase<?>te nimic, sau erori de argument sau erori minore
            de acces/citire a fi<?>ierelor,

       10   date de control nevalide gasite in fi<?>ierul punctelor de
            verificari,

       11   eroare la procesarea punctului de verificare,

       12   evenimentul punctului de verificare nu a fost gasit in fi<?>ierul
            jurnal corespunzator

NOTA
       Op<?>iunea de timp de pornire este o func<?>ie convenabila <?>i are
       limitari. Timpul calculat se bazeaza pe ora actuala minus /proc/uptime.
       Daca dupa pornire ceasul sistemului a fost ajustat, poate prin ntp,
       atunci calculul poate fi gre<?>it. In acest caz, va trebui sa
       specifica<?>i ora complet. Pute<?>i verifica data+ora care trebuie
       utilizata ruland:

       date -d "`cut -f1 -d. /proc/uptime` seconds ago"


EXEMPLE
       Cauta un utilizator specific:
       # ausearch --start today --loginuid john -i

       Verifica jurnalul SELinux pentru a vedea daca au existat refuzuri astazi.
       # ausearch --start today -m avc -i

       Afi<?>eaza orice jurnal SELinux recent
       # ausearch -m avc,user_avc,selinux_err,user_selinux_err -i -ts recent

       Jurnale de ie<?>ire in format text
       # ausearch --start today --format text

       Evenimente TTY de ie<?>ire interpretate <?>i eludate shelln
       # ausearch --start today -m TTY -i --escape shell_quote


CONSULTA<?>I <?>I
       auditd(8), auditd.conf(5), aureport(8), pam_loginuid(8).

TRADUCERE
       Traducerea in limba romana a acestui manual a fost facuta de Remus-
       Gabriel Chelu <remusgabriel.chelu@disroot.org>

       Aceasta traducere este documenta<?>ie gratuita; citi<?>i Licen<?>a
       publica generala GNU Versiunea 3
       <https://www.gnu.org/licenses/gpl-3.0.html> sau o versiune ulterioara
       cu privire la condi<?>ii privind drepturile de autor.  NU se asuma
       NICIO RESPONSABILITATE.

       Daca gasi<?>i erori in traducerea acestui manual, va rugam sa
       trimite<?>i un e-mail la <translation-team-ro@lists.sourceforge.net>.

Red Hat                           iulie 2023                       AUSEARCH(8)