Comment définir les règles du système de fichiers d'audit dans RHEL/CentOS/Rocky Linux

Pour définir les règles du système de fichiers d'audit dans RHEL/CentOS/Rocky Linux, procédez comme suit :

1. Ouvrez une fenêtre de terminal.

2. Utilisez la commande suivante pour créer une nouvelle règle de système de fichiers d'audit :

```

auditctl -a

```

Où:

* `` spécifient les conditions dans lesquelles la règle doit être déclenchée. Les options les plus courantes incluent :

* `-w` :Surveillez le chemin spécifié pour les modifications.

* `-p` :Spécifiez les autorisations à auditer.

* `-k` :Spécifiez un nom de clé pour la règle. Cette clé sera utilisée pour rechercher la règle dans les journaux d'audit.

* `` est le chemin absolu vers le répertoire ou le fichier que vous souhaitez auditer.

3. Par exemple, pour surveiller les modifications du répertoire `/etc` et enregistrer toute tentative de modification, de suppression ou de création de fichiers dans ce répertoire, vous utiliserez la commande suivante :

```

auditctl -w /etc -p wa

```

4. Une fois la règle créée avec succès, vous pouvez la vérifier à l'aide de la commande suivante :

```

auditctl -l

```

5. Cette commande listera toutes les règles d'audit actives, y compris celle que vous venez de créer.

6. Vous pouvez également modifier ou supprimer des règles d'audit à l'aide de la commande `auditctl` avec les options `-e` et `-d`.

En définissant et en gérant les règles du système de fichiers d'audit, vous pouvez vous assurer que votre système enregistre les événements les plus importants pour vous et que les journaux d'audit générés par le système sont exacts et complets. Ces informations peuvent être inestimables en cas d’incident de sécurité ou d’audit de conformité.