Cómo auditar todos los comandos ejecutados en OEL 5,6 usando auditd

Pregunta :¿Cómo registrar cada comando de usuario ejecutado con o sin sudo y reenviar estos registros a un archivo de registro central?

Para configurar auditd para registrar todos los comandos de usuario, siga el siguiente plan de acción.

1. Use yum para instalar la auditoría paquete:

# yum install audit

2. Para iniciar automáticamente el servicio auditd en el momento del arranque:

# chkconfig auditd on

3. agregue las siguientes líneas a /etc/audit/audit.rules .

# vi /etc/audit/audit.rules
-a exit,always -F arch=b64 -S execve
-a exit,always -F arch=b32 -S execve

4. Inicie el servicio:

# service auditd start

De esta forma, auditd registra todos los comandos de usuario en /var/log/audit/audit.log por defecto. Puede cambiar la configuración editando “/etc/audit/auditd.conf “.