auditd пишет логи в /var/log/audit/, по мере достижения максимального размера лога происходит его ротирование. Как однозначно определить, что к папке /var/log/audit/ был применен какой-то бинарь, который из /var/log/audit/audit.log сделал /var/log/audit/audit.log.1?
1 ответ
судя по всему на прямую - никак. Можно сопоставить и выяснить косвенно:
cat /var/log/messages | grep rotat
там будут сообщения о ротировании какого-то (не конкретного!) лога демоном auditd, обратить внимание на дату/время
далее:
head -n 5 /var/log/audit.log | ausearch -f -i --start today
там будет сообщение о каком-то событии, дата/время этого события должно совпадать с временем ротирования