audit.logRésolu/Fermé

Question

Bonjour, 

Je voudrais savoir si il y a la possibilité de logguer le nom d'utilisateur dans les logs audit.log. Car actuellement, l'information utilisateur est sous la forme uid, mais lorsque les logs sont envoyés à un rsyslog il serait plus simple d'avoir le username directement. 

Quelqu'un aurait - il une solution?

Merci,
Mytux.

mamiemando · Answer

Il faudrait commencer regarder dans la documentation (le man) du programme qui génère ce fichier. Peux-tu nous indiquer duquel il s'agit, ça faciliterait les recherches ? Car tu n'es sans doute pas la première personne à te poser la question.

Bonne chance

MyTux · Answer

Bonjour,

Le man a déjà été consulté, et le service générant ce fichier est auditd.

Merci,
Mytux.

mamiemando · Answer

Si j'en crois ce qui est dit ici :
http://doc.opensuse.org/products/draft/SLES/SLES-security_sd_draft/cha.audit.comp.html

... c'est le rôle de aureport (voir 30.5.2) de traduire les logs écrits dans audit.log dans un format plus compréhensible.

Peut-être que dans ton cas ce que tu cherches est :

aureport -l -i

Si tu cherches une entrée particulière, ausearch est sans doute plus adapté (voir 30.6).

Bonne chance

lekaf974 · Answer

pourquoi ne pas faire un script qui t'affiche le nom d'utilisateur à partir du uid avec sed c'est pas très difficile à mettre en place, exemple :
sed -i -e "s/uid/nomd'utilisateur/g" audit.log

MyTux · Answer

Bonjour,

Tout d'abord merci pour ces indications, la commande ausearch je la connais. La problématique n'était pas d'interpréter les logs en local les outils d'auditd le font très bien. C'était plus dans le cas d'un concentrateur de log qui ne possède pas le démon auditd donc pas les tools nécessaires. 

Après étude, il semblerait que l'on retombe sur nos pattes en faisant une corrélation de logs.

@lekaf974: je n'apprécie pas trop ta "solution", car tu viens apporter une action "humaine" au log sans être à l'abris d'erreur et dans le cadre d'un audit, je ne pense pas que cela soit apprécié. En faisant cela tu ne leur garanti pas l'intégrité des logs et de plus ils pourront même suspecter que tu caches des choses...

Merci encore,
Mytux.

mamiemando · Answer

Dans le cas de ton concentrateur de log, rien n'empêche de faire un travail amont avec aureport au niveau de chaque machine monitorée et ensuite d'uploader le résultat vers ton concentrateur de logs...

Autre solution, tu écris sur ton concentrateur de log un script qui se connecte en ssh (par exemple avec des clés ssh) sur chaque machine monitoré et qui lance la commande aureport approprié, et tu stockes le résultat en local.

Un truc dans ce genre :

for ip in $(cat /root/ips.txt); do (ssh root@$ip aureport -l -i) >  /tmp/report_$ip; done

Bonne chance

Audit.log

6 réponses

Newsletters