Red Hat Training
A Red Hat training course is available for Red Hat Enterprise Linux
7.7. Audit ログファイルの検索
ausearch ユーティリティーを使用すると、特定のイベントを Audit ログファイルで検索できます。デフォルトでは、ausearchは、
/var/log/audit/audit.logファイルを検索します。ausearch options -if file_name コマンドを使用して、別のファイルを指定できます。1 つの ausearch コマンドで複数のオプションを指定することは、フィールドタイプ間で AND 演算子を使用し、同じフィールドタイプの複数のインスタンス間で OR 演算子を使用することと同じです。
例7.7 ausearch を使用した Audit ログファイルの検索
/var/log/audit/audit.log ファイルで失敗したログイン試行を検索するには、次のコマンドを使用します。
~]# ausearch --message USER_LOGIN --success no --interpret
すべてのアカウント、グループ、およびロールの変更を検索するには、以下のコマンドを使用します。
~]# ausearch -m ADD_USER -m DEL_USER -m ADD_GROUP -m USER_CHAUTHTOK -m DEL_GROUP -m CHGRP_ID -m ROLE_ASSIGN -m ROLE_REMOVE -i
あるユーザーのログイン ID (
auid) を使って、そのユーザーによって実行されたすべてのログに記録されたアクションを検索するには、以下のコマンドを使用します。
~]# ausearch -ua 1000 -i
昨日から現時点までの失敗したシステムコールをすべて検索するには、以下のコマンドを使用します。
~]# ausearch --start yesterday --end now -m SYSCALL -sv no -i
すべての ausearch オプションの完全なリストについては、ausearch(8) の man ページを参照してください。