숨겨진 파일 생성 로깅

Question 1

Linux에 특정한 이 auditd패키지는 귀하가 찾고 있는 정보를 제공할 수 있어야 합니다. 2.6 이상의 커널에서 제공되는 감사 기능을 사용합니다. 여기 하나 있어요빠른 시작auditd이는 SLES에만 해당되지만 작동 방식과 구성 방법에 대한 아이디어를 제공합니다 .

auditctl매뉴얼 페이지 에서 :

-w path
    Insert  a  watch for the file system object at path. You cannot insert
    a watch to the top level directory. This is prohibited by the  kernel. 
    Wildcards  are not supported either and will generate a warning. The way
    that watches work is by tracking the inode internally. If you place a 
    watch on a file, its the same as  using  the  -F  path  option  on a 
    syscall rule. If you place a watch on a directory, its the same as using
    the -F dir option on a syscall rule.  The  -w form  of  writing watches 
    is for backwards compatibility and the syscall based form is more
    expressive. Unlike most syscall auditing rules,  watches  do  not impact
    performance  based on the number of rules sent to the kernel. The only 
    valid options when using a watch are the -p and -k. If you  need to     
    anything fancy like audit a specific user accessing a file, then use 
    the syscall auditing form with the path or dir fields.

Answer

Linux에 특정한 이 auditd패키지는 귀하가 찾고 있는 정보를 제공할 수 있어야 합니다. 2.6 이상의 커널에서 제공되는 감사 기능을 사용합니다. 여기 하나 있어요빠른 시작auditd이는 SLES에만 해당되지만 작동 방식과 구성 방법에 대한 아이디어를 제공합니다 .

auditctl매뉴얼 페이지 에서 :

-w path
    Insert  a  watch for the file system object at path. You cannot insert
    a watch to the top level directory. This is prohibited by the  kernel. 
    Wildcards  are not supported either and will generate a warning. The way
    that watches work is by tracking the inode internally. If you place a 
    watch on a file, its the same as  using  the  -F  path  option  on a 
    syscall rule. If you place a watch on a directory, its the same as using
    the -F dir option on a syscall rule.  The  -w form  of  writing watches 
    is for backwards compatibility and the syscall based form is more
    expressive. Unlike most syscall auditing rules,  watches  do  not impact
    performance  based on the number of rules sent to the kernel. The only 
    valid options when using a watch are the -p and -k. If you  need to     
    anything fancy like audit a specific user accessing a file, then use 
    the syscall auditing form with the path or dir fields.

Question 2

로그 파일에는 홈 디렉터리의 숨겨진 파일이나 디렉터리에 대한 정보가 포함되어 있지 않습니다. 그러나 예를 들어 ls -l -c또는 을 사용하여 파일/디렉토리 생성 시간을 볼 수 있습니다 stat <file>.

그의 답변에서 언급된 것 외에도 다음의 의견 auditd도 있습니다. inotifywaitinotify-toolsLinux 디렉터리의 변경 사항을 모니터링하는 패키지입니다.

홈 디렉터리에서 파일/디렉터리 생성을 모니터링하려면 다음을 실행하세요.

inotifywait -m -e create $HOME

하위 디렉터리의 변경 사항을 관찰하려면 이 -r플래그를 추가하세요.

inotifywait는 실제로 변경한 프로그램을 표시하지 않습니다.

Answer