====== Система FreeBSD Audit ======

Сценарий: отслеживаем неудачные попытки открыть файл на чтения для процессов пользователя user1

  * [[http://www.freebsd.org/doc/ru/books/handbook/audit.html|Аудит событий безопасности]]

===== Запуск системы аудита =====

По умолчанию настроена на протоколирование подключений под учетной записью root

<code>
# cat /etc/rc.conf
</code><code>
...
auditd_enable="YES"
</code><code>
# /etc/rc.d/auditd start
</code>

===== Настройка правил аудита событий =====
<code>
# cat /etc/security/audit_control
</code><code>
...
naflags:lo,aa,-fr
...
</code><code>
# cat /etc/security/audit_user
</code><code>
...
user1:-fr:no
</code><code>
# /etc/rc.d/auditd restart
</code>

===== Генерация событий =====

[[Сервис INETD]]

<code>
# fetch -qo - http://server.corpX.un/../../etc/passwd

# fetch -qo - http://server.corpX.un/../../etc/master.passwd
</code>

===== Поиск событий =====
<code>
# ls -l /var/audit/

# praudit /var/audit/current

# praudit /var/audit/current | grep -B 2 -A 2 user1 | less
</code>