Question :Comment enregistrer chaque commande utilisateur exécutée avec ou sans sudo et transférer ces journaux vers un fichier journal central ?
Pour configurer l'auditd pour la journalisation de toutes les commandes utilisateur, veuillez suivre le plan d'action ci-dessous.
1. Utilisez yum pour installer l'audit paquet :
# yum install audit
2. Pour démarrer automatiquement le service auditd au démarrage :
# chkconfig auditd on
3. ajoutez les lignes suivantes à /etc/audit/audit.rules .
# vi /etc/audit/audit.rules -a exit,always -F arch=b64 -S execve -a exit,always -F arch=b32 -S execve
4. Démarrez le service :
# service auditd start
De cette façon, auditd enregistre toutes les commandes utilisateur dans /var/log/audit/audit.log par défaut. Vous pouvez modifier la configuration en modifiant "/etc/audit/auditd.conf ".