没有在linux机器上生成审计日志。

Question

嗨，我们正在为应用程序使用四个linux服务器。应用程序只是使用脚本生成报告..。现在，对于三个服务器，审计日志在/var/log/审核目录中生成(如下所示)，但对于一台服务器，不生成任何日志。

[root@mhedr5 logs]# ls -ltr /var/log/audit |tail
total 24748
-r--------. 1 root root 6291614 Jun  4 11:45 audit.log.4
-r--------. 1 root root 6291485 Jun  4 20:26 audit.log.3
-r--------. 1 root root 6291563 Jun  5 05:40 audit.log.2
-r--------. 1 root root 6291676 Jun  5 14:52 audit.log.1
-rw-------. 1 root root  138601 Jun  5 15:07 audit.log

我完全不知道这个概念。在创建这些日志的服务器上是否有运行任何脚本？它是否与任何单独的脚本相关，还是系统属性？我怎么能解决这个问题？有谁能告诉我或分享任何有用的链接吗？如果您需要进一步的信息，请告诉我。

System info:
# lsb_release -a  (server where logs are generating)
LSB Version:    :base-4.0-amd64:base-4.0-noarch:core-4.0-amd64:core-4.0-noarch:graphics-4.0-amd64:graphics-4.0-noarch:printing-4.0-amd64:printing-4.0-noarch
Distributor ID: RedHatEnterpriseServer
Description:    Red Hat Enterprise Linux Server release 6.4 (Santiago)
Release:        6.4
Codename:       Santiago

令人惊讶的是，在不生成审计日志的服务器上，不知道lsb_release -a命令.不过，它也是一台红帽服务器。

cat /etc/*-release    (server where audit logs are not generating)
Red Hat Enterprise Linux Server release 6.4 (Santiago)
Red Hat Enterprise Linux Server release 6.4 (Santiago) 

对于服务器1：

# chkconfig --list auditd
auditd          0:off   1:off   2:on    3:on    4:on    5:on    6:off
# service auditd status
auditd (pid  4886) is running...

对于服务器2：

# chkconfig --list auditd
auditd          0:off   1:off   2:on    3:on    4:on    5:on    6:off
# service auditd status
auditd (pid  11165) is running...

在服务器2上：

ls -lart /var/log/audit
total 16
drwxr-x---.  2 root root 12288 Feb 19 15:00 .
drwxr-xr-x. 12 root root  4096 Jun  1 03:28 ..

Answer 1

auditd是一个用户空间守护进程，它连接到内核的审计子系统并将这些日志传输到文件系统。尽管所有迹象都表明您的日志正在运行，但您已经发现重新启动它会导致日志开始出现在磁盘上。

出什么问题了？现在可以说。但你可能想要从这个教训，所有的守护进程，似乎不是很好的工作可以受益于踢裤子！