Paket:

• CentOS (6): audit
• openSuSE (13.1): audit
• Debian (ab 7): auditd
• Ubuntu (ab 18.04): auditd

/etc/audit/rules.d/passwd.rules

-w /etc/passwd -p wa

systemctl kill --signal=SIGHUP auditd.service

oder

service auditd restart

Prüfen, ob reload/restart geklappt hat:

systemctl status auditd.service
journalctl -eu auditd.service

touch /etc/passwd
tail /var/log/audit/audit.log
ausearch -i -f /etc/passwd

useradd -m klaus
tail /var/log/audit/audit.log
ausearch -i -f /etc/passwd

/etc/audit/audit.rules :

-e 2

Änderungen an /etc/audit/audit.rules werden jetzt erst nach reboot aktiv.

auditctl
aureport