0

auditd пишет логи в /var/log/audit/, по мере достижения максимального размера лога происходит его ротирование. Как однозначно определить, что к папке /var/log/audit/ был применен какой-то бинарь, который из /var/log/audit/audit.log сделал /var/log/audit/audit.log.1?

1 ответ 1

0

судя по всему на прямую - никак. Можно сопоставить и выяснить косвенно:

cat /var/log/messages | grep rotat

там будут сообщения о ротировании какого-то (не конкретного!) лога демоном auditd, обратить внимание на дату/время

далее:

head -n 5 /var/log/audit.log | ausearch -f -i --start today

там будет сообщение о каком-то событии, дата/время этого события должно совпадать с временем ротирования

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.