ОПИСАНИE

aureport - это инструмент, который генерирует итоговые отчеты на основе логов демона аудита. aureport может также принимать данные со стандартного ввода (stdin) до тех пор, пока на входе будут необработанные данные логов. В шапке каждого отчета для каждого столбца есть заголовок - это облегчает понимание данных. Все отчеты, кроме основного итогового отчета, содержат номера событий аудита. Используя их, вы можете найти полные данные о событии с помощью ausearch -a номер события. Если в отчете слишком много данных, можно задать время начала и время окончания для уточнения временного промежутка. Отчеты, генерируемые aureport, могут быть использованы как исходный материал для получения более развернутых отчетов.

 

ОПЦИИ

-au, --auth

Отчет о всех попытках аутентификации

-a, --avc

Отчет о всех avc сообщениях

-c, --config

Отчет о изменениях конфигурации

-cr, --crypto

Отчет о событиях, связанных с шифрованием

-e, --event

Отчет о событиях

-f, --file

Отчет о файлах

--failed

Для обработки в отчетах выбирать только неудачные события. По умолчанию показываются и удачные и неудачные события.

-h, --host

Отчет о хостах

-i, --interpret

Транслировать числовые значения в текстовые. Например, идентификатор пользователя будет оттранслирован в имя пользователя. Трансляция выполняется c использованием данных с той машины, где запущен aureport. Т.е. если вы переименовали учетные записи пользователей или не имеете таких же учетных записей на вашей машине, то вы можете получить результаты, вводящие в заблуждение.

-if, --input файл

Использовать указанный файл вместо логов аудита. Это может быть полезно при анализе логов с другой машины или при анализе частично сохраненных логов.

-l, --login

Отчет о попытках входа в систему

-m, --mods

Отчет об изменениях пользовательских учетных записей.

-ma, --mac

Отчет о событиях в системе обеспечивающей мандатное управление доступом - Mandatory Access Control (MAC).

-p, --pid

Отчет о процессах

-r, --response

Отчет о реакциях на аномальные события

-s, --syscall

Отчеты о системных вызовах

--success

Для обработки в отчетах выбирать только удачные события. По умолчанию показываются и удачные и неудачные события.

--summary

Генерировать итоговый отчет, который дает информацию только о количестве элементов в том или ином отчете. Такой режим есть не у всех отчетов.

-t, --log

Этот параметр генерирует отчет о временных рамках каждого отчета.

-te, --end [дата] [время]

Искать события, которые произошли раньше (или во время) указанной временной точки. Формат даты и времени зависит от ваших региональных настроек. Если дата не указана, то подразумевается текущий день ( today ). Если не указано время, то подразумевается текущий момент ( now ). Используйте 24-часовую нотацию времени, а не AM/PM. Например, дата может быть задана как 10/24/2005, а время - как 18:00:00.

Вы можете также использовать ключевые слова: now (сейчас), recent, today, yesterday, this-week, this-month, this-year. today означает первую секунду после полуночи текущего дня. recent - 10 минут назад. yesterday - первую секунду после полуночи предыдущего дня. this-week означает первую секунду после полуночи первого дня текущей недели, первый день недели определяется из ваших региональных настроек (см. localtime). this-month означает первую секунду после полуночи первого числа текущего месяца. this-year означает первую секунду после полуночи первого числа первого месяца текущего года.

-tm, --terminal

Отчет о терминалах

-ts, --start [дата] [время]

Искать события, которые произошли после (или во время) указанной временной точки. Формат даты и времени зависит от ваших региональных настроек. Если дата не указана, то подразумевается текущий день ( today ). Если не указано время, то подразумевается полночь ( midnight ). Используйте 24-часовую нотацию времени, а не AM/PM. Например, дата может быть задана как 10/24/2005, а время - как 18:00:00.

Вы можете также использовать ключевые слова: now (сейчас), recent, today, yesterday, this-week, this-month, this-year. today означает первую секунду после полуночи текущего дня. recent - 10 минут назад. yesterday - первую секунду после полуночи предыдущего дня. this-week означает первую секунду после полуночи первого дня текущей недели, первый день недели определяется из ваших региональных настроек (см. localtime). this-month означает первую секунду после полуночи первого числа текущего месяца. this-year означает первую секунду после полуночи первого числа первого месяца текущего года.

-u, --user

Отчет о пользователях

-v, --version

Вывести версию программы и выйти

-x, --executable

Отчет о исполняемых объектах

(комментировать пост)