Аудит в RHEL (хочу запустить)

[FoXKa]

Доброго времени суток.
Вобщем встал вопрос об аудите всех событий(запись,удаление,чтение, изменение файлов) связаных с не системными пользователями.
как это лучше и проще реализовать.
смотрел команду auditctl но что то не смог запустить её по всей системе. смог только натравить на конкретный файл.

вобщем сабж.
спасибо за ваши ответы.

[broom]

Может, вам нужен демон audit? http://chla.ru/index.php/mod5/180?task=view

[FoXKa]

Может, вам нужен демон audit? http://chla.ru/index.php/mod5/180?task=view

спасибо. сейчас прочту и отпишусь.

[FoXKa]

вобщем то и не то...
тут по-моему нет возможности включить аудит от / на всю систему. и по всем пользователям сразу.
или я не просто не знаю как ?!

[broom]

Да, действительно нельзя.

man auditctl

-w path Insert a watch for the file system object at path. You cannot insert a watch to the top level directory. This is prohibited by the kernel.

Наверно, придётся выбрать самые важные каталоги. :)

[FoXKa]

Да, действительно нельзя.
Наверно, придётся выбрать самые важные каталоги.

Подскажите пожалуйста а SElinux это позволит мне сделать?

[broom]

Подскажите пожалуйста а SElinux это позволит мне сделать?

На сколько я знаю - нет. Но скажу честно, с такой задачей сталкиваться не приходилось.
Вот нагуглилась пара не особо свежих статей:
http://articles.techrepublic.com.com/5100-...11-6034353.html
http://www.linux.com/archive/feature/124903

[FoXKa]

спасибо.