Архитектура и условия
Руководство различает auditd, загрузку правил audit-rules и утилиты просмотра. Kernel audit, записи приложений, syslog и systemd journal не объединяются в один неразличимый поток. Наличие журнала само по себе не означает, что включён нужный вид регистрации. Механизм аудита.
| Проверка | Почему влияет на ответ |
|---|---|
Продукт и версия из /etc/os-release | Отделить фактическую ОС от версии пути руководства |
| Версия audit, PAM и приложения | Установить доступные типы/поля и способ регистрации |
| auditd и фактическая конфигурация | Проверить, что данные пишутся и куда |
log_file, write_logs, local_events | Нестандартный путь или отключение записи меняют поиск |
| Ротация, число файлов, срок хранения | Старый период может отсутствовать в текущем файле |
| Права на чтение | Недоступный файл не является пустым журналом |
| Loginuid/auid и способ запуска | Влияет на возможность установить исходную учётную запись |
Параметры конфигурации описаны в auditd.conf. Команды этой инструкции не изменяют настройки аудита.
Пример чтения
Перед поиском установите редакцию Альт, версии пакетов и действующую конфигурацию аудита.
cat /etc/os-release
rpm -q audit
sudo auditctl -s
sudo cat /etc/audit/auditd.conf
Первые команды фиксируют паспорт/версию и состояние. Не публиковать конфигурацию без просмотра на чувствительные значения. Наличие rpm и имя пакета audit нужно подтвердить именно на выбранном образе; если отличаются — исправить карточку, не скрывать расхождение.
Затем, если log_file соответствует принятой конфигурации и есть права:
sudo ausearch -m USER_AUTH -ts today --raw
sudo ausearch -m USER_AUTH -ts today -i
Назначение ausearch подтверждено руководством Альт; точные опции сверены с upstream ausearch(8). Работу точных опций в установленной пакетной версии Альт нужно проверить отдельно; совместимость опций зависит от установленной версии пакета.
Пример для понимания результата
Схема разбора, не запись с Альт:
source=linux.audit type=USER_AUTH
acct=demo.user result=failed application=sshd
raw_file_path=<фактический log_file>
Разбирать значения по карточке USER_AUTH, сохраняя исходную запись. Для составного события собрать все записи с общими timestamp/serial на одном узле, а не только строку, совпавшую с grep. Устройство записей и интерпретация с -i описаны в журнале аудита Альт.
При анализе копии журнала задавать -if и исходный период; при ротации проверить все доступные файлы и фактическое поведение утилиты. Удобочитаемые имена сверять с сохранёнными числовыми UID: имя пользователя могло измениться.
Если USER_AUTH не найден
Сначала отличить отказ чтения, неверный период и отсутствие записи. Затем проверить генерацию auth audit выбранным приложением/PAM, состояние записи и ротацию. Системный SSH-журнал может дать дополнительный контекст, но нельзя обещать один универсальный путь для всех конфигураций. Отсутствие USER_AUTH не означает, что никто не пытался войти.
Для вопроса «кто создал пользователя» нужен сценарий с ADD_USER и проверкой конкретного способа создания. Данный паспорт не доказывает, что все операции учётных записей всегда покрываются этим типом.
Границы российского покрытия
Настройки Альт не переносятся автоматически на Astra Linux или РЕД ОС: для каждой редакции нужны собственные версии пакетов, конфигурация, источники и проверка применимости. Совпадение имён Linux-утилит не подтверждает одинаковое поведение.
Паспорт доступности и хранения
Перед поиском зафиксируйте, откуда получена копия: локальный файл, централизованный коллектор или нормализованный индекс. Сохраните исходный формат raw/enriched, часовой пояс, диапазон и доступные файлы ротации. Для каждого вывода укажите, виден ли источник полностью: отсутствие записи в индексе не означает отсутствия её в локальном файле. Паспорт относится к конкретной системе, а не ко всем продуктам Альт. Приведённые настройки читаются для сопоставления; аудит этой инструкцией не изменяется.
Следующая проверка
Для аутентификации переходите к USER_AUTH; для запуска программы — к EXECVE и связанному SYSCALL. Эти типы отвечают на разные вопросы. При несовпадении UID/auid и способа входа сохраните числовые значения и выясните контекст сессии. Если требуется установить человека за сервисной учётной записью, понадобится дополнительное свидетельство из системы доступа. Не заполняйте отсутствующие поля по соседнему событию или текущему имени пользователя.