CentOS/RHEL で /var/log/audit/audit.log ファイルのデフォルトのアクセス許可を変更する方法

質問 :auditd を構成して、/var/log/audit/audit.log の既定のアクセス許可を 0600 から 0640 に変更し、ファイルのグループ所有権も変更する方法は?

デフォルトでは、ACL を使用して /var/log/audit/audit.log ファイルの権限を変更することはできません。代わりに「log_group」 」パラメータは、ファイル /etc/audit/audit.conf の下で設定できます .

手順

この例では、/var/audit/audit.log のデフォルトの権限を 600 から変更します。 640 まで また、root からグループを変更します スプランクへ .

1. /var/audit/audit.log ファイルで現在の権限を確認します。ほとんどの場合、0600 の root:root です

# ls -l /var/log/audit/audit.log
-rw------- 1 root root 3531590 Jun 1 00:20 /var/log/audit/audit.log

2. /etc/audit/auditd.conf を編集します ファイルと log_group の変更 スプランクへ .

変更前:

# cat /etc/audit/auditd.conf | grep log_group
log_group = root

変更後:

# cat /etc/audit/auditd.conf | grep log_group
log_group = splunk

3. 監査サービスを再起動して確認します。

# service audit restart

4. /var/log/audit/audit.log で権限を確認します。

# ls -l /var/log/audit/audit.log
-rw-r----- 1 root splunk 3532862 Jun 1 00:24 /var/log/audit/audit.log

注意 :この例では、デモ用の splunk ユーザーとグループが使用されていますが、セットアップに別のユーザー名とグループ名がある可能性があります。auditd によるシステム監査の理解