Linux监听系统文件（二）——auditd

最新推荐文章于 2025-10-13 11:35:37 发布

原创

最新推荐文章于 2025-10-13 11:35:37 发布 · 1k 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#linux #运维

使用auditd可以记录文件的修改操作，博主采用的就是这种，下面是实例。

首先，安装auditd（如果未安装）：

sudo apt-get install auditd

然后，添加一个监控规则来监控/etc/locale.conf文件的修改：

sudo auditctl -w /etc/locale.conf -p wa -k locale_change

查看日志

sudo ausearch -k locale_change

日志输出内容：
time->Tue Jul 9 10:06:18 2024 type=PROCTITLE msg=audit(1720490778.716:37): proctitle=617564697463746C002D77002F6574632F6C6F63616C652E636F6E66002D70007761002D6B006C6F63616C655F6368616E6765 type=SYSCALL msg=audit(1720490778.716:37): arch=c000003e syscall=44 success=yes exit=1088 a0=4 a1=7ffcff3857a0 a2=440 a3=0 items=0 ppid=86059 pid=86060 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts