Dotaz: Auditd

[Havraspar]

Ahoj, potřeboval bych poradit jak rozchodit službu auditd tak, aby logovala veškeré příkzay, které pošlou uživatelé do konzole. Problém je v tom, že (ve /var/log/audit/audit-log samozdrejme) vidím pouze to co vypisuje do konzole root ale ostatní uživatelé nikoliv. Neví někdo co dělám špatně?

hostnamectl
           Chassis: vm
    Virtualization: kvm
  Operating System: Red Hat Enterprise Linux Server 7.3 (Maipo)
       CPE OS Name: cpe:/o:redhat:enterprise_linux:7.3:GA:server
            Kernel: Linux 3.10.0-514.21.1.el7.x86_64
      Architecture: x86-64

---------------------------------------------

root@xxxxxxx: ~ # cat /etc/audit/rules.d/audit.rules 
# This file contains the auditctl rules that are loaded
# whenever the audit daemon is started via the initscripts.
# The rules are simply the parameters that would be passed
# to auditctl.

# First rule - delete all
-D

# Increase the buffers to survive stress events.
# Make this bigger for busy systems
-b 320 

# Feel free to add below this line. See auditctl man page

-a exit,always -F arch=b64 -F euid=0 -S execve
-a exit,always -F arch=b32 -F euid=0 -S execve

---------------------------------------------

root@xxxxxxxx: ~ # cat /etc/pam.d/system-auth
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
session     required      pam_tty_audit.so enable=*
auth        required      pam_env.so
auth        [default=1 success=ok] pam_localuser.so
auth        [success=done ignore=ignore default=die] pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        sufficient    pam_sss.so forward_pass
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     [default=bad success=ok user_unknown=ignore] pam_sss.so
account     required      pam_permit.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha256 shadow nullok try_first_pass use_authtok
password    sufficient    pam_sss.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     optional      pam_oddjob_mkhomedir.so umask=0077
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_sss.so

Odpovědi

[NN]

Po odhlaseni uzivatele?

[Havraspar]

Ahoj, přes ~/.bash_history to delat nechci, je potom velmi jednoduché obejít audit obycejným echo "" | cat ~/.bash_history před odhlášením uzivatele.

[NN]

Zeptam se znova, jak to vypada po odhlaseni uzivatele?

[Havraspar]

Nerozumím, nevypise to nic.

[Havraspar]

Nikdo nic?

[Josef Kufner]

Pokud to rootovi funguje a ostatním nikoliv, není problém někde v oprávněních? Přes co komunikuje pam_tty_audit.so s auditd? Není tam třeba blbě nastavené oprávnění u socketu, nebo tak něco? (auditd neznám.)