Red Hat Training

A Red Hat training course is available for RHEL 8

37.4. Inicio y control de la auditoría

Una vez configurado auditd, inicie el servicio para recoger la información de auditoría y almacenarla en los archivos de registro. Utiliza el siguiente comando como usuario root para iniciar auditd:

# service auditd start

Para configurar auditd para que se inicie en el momento del arranque:

# systemctl enable auditd

Se pueden realizar otras acciones en auditd utilizando el comando service auditd action donde action puede ser uno de los siguientes:

stop
Para auditd.
restart
Reinicia auditd.
reload o force-reload
Recarga la configuración de auditd desde el archivo /etc/audit/auditd.conf.
rotate
Rota los archivos de registro en el directorio /var/log/audit/.
resume
Reanuda el registro de eventos de Auditoría después de haber sido suspendido previamente, por ejemplo, cuando no hay suficiente espacio libre en la partición del disco que contiene los archivos de registro de Auditoría.
condrestart o try-restart
Reinicia auditd sólo si ya está en marcha.
status
Muestra el estado de funcionamiento de auditd.
Nota

El comando service es la única manera de interactuar correctamente con el demonio auditd. Es necesario utilizar el comando service para que el valor de auid se registre correctamente. Puede utilizar el comando systemctl sólo para dos acciones: enable y status.