我正在使用auditd，如何排除auditd收集关于cron的日志(ubuntu20.04)

Question

我用的是审计。我不想在auditd收集有关cron的日志，但它收集cron。如果我不想收集aunditd日志，如何在audit.rules中制定规则

我写了auditctl -a从不退出-F exe=/usr/sbin/cron

但是它不能工作

Answer 1

可以尝试将以下auditd规则添加到/etc/audit/rules.d/audit.rules文件中：

-a never,user -F subj_type=crond_t
-a exit,never -F subj_type=crond_t

在那之后，跑

augenrules --load

并重新启动审计d

service auditd restart

注意，如果禁用SELinux，

将无法工作。