Come ignorare/disabilitare voci di registrazione auditd specifiche

Quando si abilita la registrazione controllata su un sistema Linux, la generazione di registri può essere schiacciante. Alcuni clienti potrebbero voler disabilitare le voci di auditd relative a un comando/SYSCALL specifico. Ad esempio, le voci seguenti vengono registrate da auditd ( /var/log/messages )

type=CWD msg=audit(1464664627.639:1858714): cwd="/u01/app/oracle/emagent/12.1.0.3/agent_inst/sysman/emd"
type=PATH msg=audit(1464664627.639:1858714): item=0 name="/u01/app/oracle/emagent/12.1.0.3/agent_inst/sysman/emd/upload/upload/stream0/" inode=17910851 dev=fc:03 mode=040740 ouid=1000 ogid=1001 rdev=00:00
type=PATH msg=audit(1464664627.639:1858714): item=1 name="/u01/app/oracle/emagent/12.1.0.3/agent_inst/sysman/emd/upload/upload/stream0/D_P4_S0_I174383.xml" inode=17913267 dev=fc:03 mode=0100640 ouid=1000 ogid=1001 rdev=00:00
type=SYSCALL msg=audit(1464664627.639:1858715): arch=c000003e syscall=87 per=400000 success=yes exit=0 a0=7f8b5c002180 a1=180 a2=7f8b5c002180 a3=7f8e9e1e3278 items=2 ppid=31951 pid=34940 auid=1075 uid=1000 gid=1001 euid=1000 suid=1000 fsuid=1000 egid=1001 sgid=1001 fsgid=1001 tty=(none) ses=17377 comm="java" exe="/u01/app/oracle/emagent/12.1.0.3/core/12.1.0.5.0/jdk/bin/java" key="delete"
Customer would like to disable them as they are not necessary to be logged-in.

Disabilitazione di voci di registrazione controllate specifiche

1. Il modo più semplice per farlo è semplicemente disabilitare il percorso dalla registrazione, ad esempio:

-W never,exclude -F path=/u01/app/oracle/emagent/12.1.0.3/ -k exclude

Sopra escluderà il percorso /u01/app/oracle/emagent/12.1.0.3/ dalla registrazione di auditd

2. O semplicemente disabilita le regole separate seguendo gli esempi seguenti:

-W never,exclude -F exe=/u01/app/oracle/emagent/12.1.0.3/core/12.1.0.5.0/jdk/bin/java -k exclude
-W never,exclude -F cwd=/u01/app/oracle/emagent/12.1.0.3/agent_inst/sysman/emd -k exclude
-W never,exclude -F inode=17910851 -k exclude
-W never,exclude -F inode=17913267 -k exclude

Gli esempi di voci precedenti utilizzano opzioni come inode/exe/cwd

3. Il file che deve essere modificato per aggiungere tutte le regole di cui sopra si trova in-/etc/audit/audit.rules . Assicurati di commentare anche in audit.rules sotto la voce:

# Make the configuration immutable -- reboot is required to change audit rules
#-e 2

4. Il riavvio sarà richiesto se "-e 2" è stato abilitato. In casi normali riavvia semplicemente il servizio auditd:

# service auditd restart

Per ulteriori informazioni ed esempi di regola auditd, controlla la pagina man di auditctl.

# man auditctl

È possibile escludere processi specifici quando si utilizza auditd per controllare le syscall?
Come escludere utenti, gruppi o servizi specifici con Auditd per controllare le syscall
Come escludere un file/una directory dalle regole di auditd