auditd

auditd — демон подсистемы Linux Audit, который получает сообщения аудита от ядра и связанных компонентов, применяет параметры записи и сохраняет события в журналы. Он используется для фиксации действий и изменений, существенных для безопасности и последующего расследования. Набор правил аудита определяет, какие системные вызовы, файлы, учётные записи или изменения конфигурации регистрируются. Полезность данных зависит от корректно заданных правил, синхронизации времени, доступного места для журналов, политики ротации и обработки переполнения. Чрезмерно широкие правила могут создавать значительный поток событий и осложнять анализ. Демон применяют на Linux-серверах для контроля административных действий, доступа к критичным файлам, изменений привилегий и выполнения требований аудита. Журналы обычно передают или архивируют отдельно от контролируемого узла, чтобы снизить риск их утраты или изменения при инциденте. auditd отличается от syslog-служб: он работает с событиями подсистемы аудита Linux и правилами аудита, а не только с произвольными сообщениями приложений. Он также не является средством предотвращения атак: демон регистрирует заданные события, тогда как блокирование действий выполняют механизмы контроля доступа и политики безопасности.