El problema
En el servidor, los mensajes de auditoría están llenando el archivo /var/log/messages con información de depuración:
type=1101 audit(1431535584.561:3): user pid=2428 uid=0 auid=4294967295 ses=4294967295 subj=kernel msg='PAM: accounting acct="root" : exe="/bin/su" (hostname=?, addr=?, terminal=console res=success)' type=1105 audit(1431535584.634:4): user pid=2428 uid=0 auid=4294967295 ses=4294967295 subj=kernel msg='PAM: session open acct="root" : exe="/bin/su" (hostname=?, addr=?, terminal=console res=success)' type=1103 audit(1431535584.646:5): user pid=2428 uid=0 auid=4294967295 ses=4294967295 subj=kernel msg='PAM: setcred acct="root" : exe="/bin/su" (hostname=?, addr=?, terminal=console res=success)' type=1104 audit(1431535585.091:6): user pid=2428 uid=0 auid=4294967295 ses=4294967295 subj=kernel msg='PAM: setcred acct="root" : exe="/bin/su" (hostname=?, addr=?, terminal=console res=success)' type=1106 audit(1431535585.099:7): user pid=2428 uid=0 auid=4294967295 ses=4294967295 subj=kernel msg='PAM: session close acct="root" : exe="/bin/su" (hostname=?, addr=?, terminal=console res=success)'
La solución
Auditd es una herramienta de auditoría del kernel como parte del paquete SElinux. Si auditd está habilitado en el servidor, colocará los mensajes de depuración en el archivo /var/log/messages. Auditd debe colocar mensajes de depuración dentro de /var/log/audit.log pero en algunos casos también enviará esos mensajes a /var/log/messages. Siga los pasos descritos a continuación para evitar que los mensajes auditados se registren en /var/log/messages.
1. Verifique /etc/grub.conf parámetros de arranque del kernel:
title Oracle Linux Server Unbreakable Enterprise Kernel (3.8.13-16.2.1.el6uek.x86_64) root (hd0,0) kernel /vmlinuz-3.8.13-16.2.1.el6uek.x86_64 ro root=/dev/mapper/vg_lnxovmsan2076-lv_root rd_NO_LUKS KEYBOARDTYPE=pc KEYTABLE=uk LANG=en_US.UTF-8 rd_NO_MD SYSFONT=latarcyrheb-sun16 rd_LVM_LV=vg_lnxovmsan2076/lv_root rd_LVM_LV=vg_lnxovmsan2076/lv_swap rd_NO_DM rhgb quiet audit=1 initrd /initramfs-3.8.13-16.2.1.el6uek.x86_64.img
2. Al final de los parámetros de arranque del kernel ‘audit=1 ', elimine esta opción de los parámetros de arranque y guarde los cambios del archivo.
3. Si no se necesita auditd en el servidor, detenga el servicio de auditd y desactívelo en la etapa de arranque:
# service auditd status auditd (pid 3643) is running..
# service auditd stop # chkconfig auditd off
4. Otra opción para evitar que auditd llene el archivo de mensajes es editar /etc/audit/audit.rules y cambiar línea:
# First rule - delete all -D
cambia eso a
# First rule - delete all -e 0
5. Guarde el archivo y reinicie el servicio auditd
# service auditd restart
Esto debería evitar que los mensajes de depuración auditados lleguen a /var/log/messages.