如何使用ausearch动态处理auditd日志？

Question

我想把日志发送到集中日志记录(ELK)。由于事情的方式，我需要在创建日志的机器上进行处理。如何使每个新的auditd事件自动由ausearch处理并写入另一个文件？

Answer 1

最简单(但面向批处理)：在ausearch中使用检查点功能，将输出序列化为某种传输机制(即将多条记录折叠到一行中，并通过syslog进行传输，并让您的logstash宏再次分解它)并每N分钟运行一次。

更多的工作:使用审计库(从auparse(3)开始)剪切代码以完成上述操作，并设置auditd dispatcher将审核发送到代码。