파일의 권한 상실을 일으키는 프로세스를 찾는 방법은 무엇입니까? [복사]

Question

이 작업 유형에는 기본 로그가 없으므로 미리 설정해야 합니다.

당신은 사용을 고려할 수 있습니다auditd을 클릭하고 권한이 변경된 파일에서 변경 사항을 찾도록 구성합니다. 그런 다음 어떤 사용자와 프로세스가 어떤 파일을 변경했는지에 대한 정보를 찾을 수 있습니다.

예를 들어 일시적으로 다음을 수행할 수 있습니다.

auditctl -w /etc/init.d/nfs-kernel-server -k nfs-kernel-server

/etc/audit/audit.rules장기간 사용 하려면 다음을 추가할 수도 있습니다 .

cat > /etc/audit/audit.rules << 'EOF'
-w /etc/init.d/nfs-kernel-server
EOF

그런 다음 auditd를 시작하고 활성화해야 합니다. 대부분의 시스템 배포판에서는 다음과 같이 수행할 수 있습니다.

systemctl enable auditd
systemctl start auditd

시스템화되지 않은 시스템의 경우 문서를 참조해야 하지만 아마도 "auditd"라는 서비스일 것입니다.

/var/log/audit/audit.log그런 다음 auditd가 로그하도록 구성된 곳이나 어디에서나 로그를 검토 할 수 있습니다 . 다음 결과가 표시됩니다.

type=SYSCALL msg=audit(1349582090.742:414): arch=c000003e syscall=268 success=yes exit=0 a0=ffffffffffffff9c a1=17be0f0 a2=1ff a3=4000 items=1 ppid=2859 pid=3069 auid=1001 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 ses=2 comm="chmod" exe="/usr/bin/chmod" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key=(null)
type=CWD msg=audit(1349582090.742:414):  cwd="/root"
type=PATH msg=audit(1349582090.742:414): item=0 name="/var/www/html/1" inode=6171184 dev=fd:00 mode=040755 ouid=0 ogid=0 rdev=00:00 obj=unconfined_u:object_r:httpd_sys_content_t:s0

Answer 1