默认情况下，auditd会记录什么(例如，当没有定义规则时？)

Question

我在我的Debian机器上安装了auditd和audispd-plugins，没有接触任何配置。我看到事件正在写入/var/log/audit/audit.log，例如：

type=LOGIN msg=audit(1462384141.770:838): pid=3662 uid=0 old-auid=4294967295 auid=0 old-ses=4294967295 ses=21 res=1
type=USER_START msg=audit(1462384141.770:839): pid=3662 uid=0 auid=0 ses=21 msg='op=PAM:session_open acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'
type=CRED_DISP msg=audit(1462384141.778:840): pid=3662 uid=0 auid=0 ses=21 msg='op=PAM:setcred acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'
type=USER_END msg=audit(1462384141.778:841): pid=3662 uid=0 auid=0 ses=21 msg='op=PAM:session_close acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'
type=USER_ACCT msg=audit(1462384201.780:842): pid=3761 uid=0 auid=4294967295 ses=4294967295 msg='op=PAM:accounting acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'
type=CRED_ACQ msg=audit(1462384201.780:843): pid=3761 uid=0 auid=4294967295 ses=4294967295 msg='op=PAM:setcred acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'
type=LOGIN msg=audit(1462384201.780:844): pid=3761 uid=0 old-auid=4294967295 auid=0 old-ses=4294967295 ses=22 res=1
type=USER_START msg=audit(1462384201.780:845): pid=3761 uid=0 auid=0 ses=22 msg='op=PAM:session_open acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'
type=CRED_DISP msg=audit(1462384201.796:846): pid=3761 uid=0 auid=0 ses=22 msg='op=PAM:setcred acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'
type=USER_END msg=audit(1462384201.800:847): pid=3761 uid=0 auid=0 ses=22 msg='op=PAM:session_close acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'

但我不知道为什么首先在日志中看到任何东西，因为我没有明确的规则：

$ auditctl -l
No rules

除了默认值之外，我在/etc/audit/audit.rules或/etc/audit/rules.d中找不到任何规则：

-D
-b 320

很明显我漏掉了什么。默认情况下什么是被记录的？

Answer 1

默认情况下，auditd记录与安全相关的命令。这不是可以在配置文件中看到的东西，默认情况是在auditd运行时发生。您可以使用以下方法获得系统最近登录的命令的摘要：

sudo aureport -x --summary

无法找到默认记录的所有命令的列表。默认情况下，我的CentOS 7系统会记录这些(不是一个详尽的列表，只是日志中显示的内容)：

/usr/sbin/crond
/usr/libexec/dovecot/auth
/usr/sbin/sshd
/usr/bin/sudo
/usr/sbin/xtables-multi
/usr/lib/systemd/systemd
/usr/bin/passwd

它还记录登录、注销和与SELinux相关的消息。

有两条可供参考：

• 如何在CentOS 7上使用Linux审计系统
• 如何在CentOS 7上编写自定义系统审计规则