|
## Installer le service Auditd
Pour installer le service auditd, exécutez la commande suivante :
```
sudo miam install auditd
```
Configurer le service Auditd
Une fois le service auditd installé, vous pouvez le configurer en éditant le fichier `/etc/audit/auditd.conf`.
Activer le service Auditd
Pour activer le service auditd, définissez le paramètre « activé » sur « 1 ».
```
[mondial]
activé =1
```
Définir le chemin du fichier journal d'audit et la taille maximale
Le paramètre `log_file` spécifie le chemin d'accès au fichier journal d'audit et le paramètre `max_log_file` spécifie la taille maximale du fichier journal d'audit.
```
[mondial]
fichier_journal =/var/log/audit/audit.log
max_log_file =50 M
```
Configurer les règles d'audit
Les règles d'audit définissent les événements qui doivent être enregistrés par le service auditd. Vous pouvez configurer des règles d'audit en les ajoutant au fichier `/etc/audit/audit.rules`.
L'exemple de règle suivant enregistrera toutes les tentatives de connexion ayant échoué :
```
-w /var/log/faillog -p wa -k connexions
```
Redémarrer le service Auditd
Après avoir modifié la configuration auditd, vous devez redémarrer le service auditd pour que les modifications prennent effet.
```
sudo systemctl restart auditd
```
Vérifier le service Auditd
Pour vérifier que le service auditd est en cours d'exécution, exécutez la commande suivante :
```
sudo systemctl statut auditd
```
Si le service auditd est en cours d'exécution, vous devriez voir un résultat semblable à celui-ci :
```
● auditd.service - LSB :démarrer/arrêter le service d'audit Linux
Chargé :chargé (/etc/rc.d/init.d/auditd)
Actif :actif (en cours d'exécution) depuis le jeu. 2021-06-10 09:23:07 UTC ; il y a 2s
Documents :man:systemd-sysv-generator(8)
PID principal :16252 (audité)
Tâches :1 (limite :11347)
Groupe C :/system.slice/auditd.service
├─16252 audité
└─16258 sommeil
10 juin 09:23:07 rockylinux auditd[16252] :auditd_start :initialisation du service d'audit du noyau
10 juin 09:23:07 rockylinux auditd[16252] :auditd_configure :définition du filtre auditd sur les règles dans /etc/audit/audit.rule
```
|
