diff --git a/HowtoAuditd.md b/HowtoAuditd.md index 6957017f..9c4add3e 100644 --- a/HowtoAuditd.md +++ b/HowtoAuditd.md @@ -3,7 +3,7 @@ categories: web title: Howto Auditd ... -Le Linux Auditing System est framework d'audit des évènements systèmes intégré au noyau Linux. +Le Linux Auditing System est un framework d'audit des évènements systèmes intégré au noyau Linux. Son composant en userspace est fournit par le paquet Debian `auditd`, qui fournit un service du même nom. @@ -17,7 +17,7 @@ Il permet, par exemple, de surveiller et loguer l'exécution de processus, la cr ~~~ -## Configuration +## Configuration Auditd se configure avec des règles, qui vont loguer les évènements demandés. @@ -26,7 +26,7 @@ Les règles doivent se placer dans des fichiers `/etc/audit/rules.d/*.rules`. **Attention :** Selon des types d'évènement logués, les logs peuvent devenir très volumineux. -### Surveiller les renommages et suppressions de fichiers dans un répertoire +### Surveiller les renommages et suppressions de fichiers Créer un fichier `/etc/audit/rules.d/rm.rules` contenant : @@ -56,7 +56,7 @@ systemctl status auditd ## Visualiser les évènements loggés -Les logs se trouvent dans `/var/log/audit/audit.log`). +Les logs se trouvent dans `/var/log/audit/audit.log`. On peut utiliser `ausearch` qui fournit des options de recherche avancées. Par exemple, si on a définit un mot clé dans la règle :