Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- admin_grundlagen:auditd [2020/02/07 09:32] – angelegt ingo_wichmann
+++ admin_grundlagen:auditd [2026/10/16 15:29] (aktuell) – [Änderungen an Datei ''/etc/passwd'' überwachen] ingo_wichmann
@@ Zeile 3: / Zeile 3: @@
   * CentOS (6): ''audit''
   * openSuSE (13.1): ''audit''
-  * Debian (7): ''auditd''
+  * Debian (ab 7): ''auditd''
+  * Ubuntu (ab 18.04): ''auditd''
 ===== Änderungen an Datei ''/etc/passwd'' überwachen =====
-''/etc/audit/audit.rules'' :
-<file>
+<file txt /etc/audit/rules.d/passwd.rules>
 -w /etc/passwd -p wa
 </file>
+  systemctl kill --signal=SIGHUP auditd.service
+oder
+  systemctl restart audit-rules.service
+oder
   service auditd restart
+Prüfen, ob reload/restart geklappt hat:
+  systemctl status auditd.service
+  journalctl -eu auditd.service
 ===== testen =====
   touch /etc/passwd
   tail /var/log/audit/audit.log
-  ausearch -f /etc/passwd
+  ausearch -i -f /etc/passwd
   useradd -m klaus
   tail /var/log/audit/audit.log
-  ausearch -f /etc/passwd
+  ausearch -i -f /etc/passwd
 ===== Auditd für Änderungen sperren =====