Как использовать либаудит?

Я пытаюсь понять, как работать с libaudit. Я хочу получать события о действиях пользователя с помощью C/C++.

Я не понимаю, как устанавливать правила и как получать информацию о действиях пользователя.

Например, я хочу получить информацию, когда пользователь создал каталог.

    int audit_fd = audit_open();

    struct audit_rule_data *rule = (struct audit_rule_data *) malloc(sizeof(struct audit_rule_data));
    memset(rule, 0, sizeof(struct audit_rule_data));

    audit_rule_syscallbyname_data(rule, "mkdir");
    audit_add_watch_dir(AUDIT_DIR, &rule, "/tmp");
    audit_add_rule_data(audit_fd,
                        rule,
                        AUDIT_FILTER_USER,
                        AUDIT_ALWAYS);

    int rc;
    fd_set read_mask;
    FD_ZERO(&read_mask);
    FD_SET(audit_fd, &read_mask);

    struct timeval t;
    t.tv_sec  = 0;
    t.tv_usec = 300 * 1000;

    do
    {
        rc = select(audit_fd+1, &read_mask, NULL, NULL, &t /*NULL*/);

        struct audit_reply *rep = NULL;
        audit_get_reply(audit_fd, rep, GET_REPLY_NONBLOCKING, 0);

        if (rep != NULL)
        {
            printf("%s", rep->message);
            break;
        }
    }
    while (rc < 0);


    audit_close(audit_fd);

Этот код не работает, он не получает ответа от libaudit, что не так?

На самом деле мне нужно получить больше информации о пользователе: кто вошел в систему, что он запускал, что он пытался изменить и т. д.

3 метода стилизации элементов HTML
3 метода стилизации элементов HTML
Когда дело доходит до применения какого-либо стиля к нашему HTML, существует три подхода: встроенный, внутренний и внешний. Предпочтительным обычно...
Формы c голосовым вводом в React с помощью Speechly
Формы c голосовым вводом в React с помощью Speechly
Пытались ли вы когда-нибудь заполнить веб-форму в области электронной коммерции, которая требует много кликов и выбора? Вас попросят заполнить дату,...
Стилизация и валидация html-формы без использования JavaScript (только HTML/CSS)
Стилизация и валидация html-формы без использования JavaScript (только HTML/CSS)
Будучи разработчиком веб-приложений, легко впасть в заблуждение, считая, что приложение без JavaScript не имеет права на жизнь. Нам становится удобно...
Flatpickr: простой модуль календаря для вашего приложения на React
Flatpickr: простой модуль календаря для вашего приложения на React
Если вы ищете пакет для быстрой интеграции календаря с выбором даты в ваше приложения, то библиотека Flatpickr отлично справится с этой задачей....
В чем разница между Promise и Observable?
В чем разница между Promise и Observable?
Разберитесь в этом вопросе, и вы значительно повысите уровень своей компетенции.
Что такое cURL в PHP? Встроенные функции и пример GET запроса
Что такое cURL в PHP? Встроенные функции и пример GET запроса
Клиент для URL-адресов, cURL, позволяет взаимодействовать с множеством различных серверов по множеству различных протоколов с синтаксисом URL.
0
0
1 691
1
Перейти к ответу Данный вопрос помечен как решенный

Ответы 1

Ответ принят как подходящий

Я нашел решение. Вот пример минимального рабочего кода.

libaudit предоставляет интерфейс для добавления/удаления правил:

int fd = audit_open();
struct audit_rule_data *rule = new audit_rule_data();

// what directory we will follow.
audit_add_watch_dir(AUDIT_DIR,
                    &rule,
                    "/etc");

// setting rule.
audit_add_rule_data(fd,
                    rule,
                    AUDIT_FILTER_EXIT,
                    AUDIT_ALWAYS);

// or removing rule.
audit_delete_rule_data(fd,
                       rule,
                       AUDIT_FILTER_EXIT,
                       AUDIT_ALWAYS);

audit_close(fd);

Чтобы установить какое-то конкретное событие и установить дополнительный фильтр, вам нужно сделать что-то вроде этого:

int fd = audit_open();

audit_rule_syscallbyname_data(rule_new, "open");
audit_rule_syscallbyname_data(rule_new, "close");

// Set extra filter, for example, follow the user with id=1000.
char pair[] = "uid=1000";
audit_rule_fieldpair_data(&rule_new, pair, AUDIT_FILTER_EXIT);

audit_add_rule_data(fd, rule_new, AUDIT_FILTER_EXIT, AUDIT_ALWAYS);

audit_close(fd);

Чтобы сделать исключение из правил нужно:

audit_rule_syscallbyname_data(rule, "mkdir");
char pair[] = "path=/etc";
audit_rule_fieldpair_data(&rule,
                          pair,
                          AUDIT_FILTER_EXIT);
audit_add_rule_data(fd,
                    rule,
                    AUDIT_FILTER_EXIT,
                    AUDIT_NEVER);

Чтобы получать сообщения от аудита:

void monitoring(struct ev_loop *loop, struct ev_io *io, int revents)
{
    struct audit_reply reply;

    audit_get_reply(fd, &reply, GET_REPLY_NONBLOCKING, 0);

    if (reply.type != AUDIT_EOE &&
        reply.type != AUDIT_PROCTITLE &&
        reply.type != AUDIT_PATH)
    {
        char *buf = new char[MAX_AUDIT_MESSAGE_LENGTH];

        snprintf(buf,
                 MAX_AUDIT_MESSAGE_LENGTH,
                 "Type=%s Message=%.*s",
                 audit_msg_type_to_name(reply.type),
                 reply.len,
                 reply.message);

        printf("EVENT: %s\n", buf);

    }
}

int main()
{
    struct ev_io monitor;
    fd = audit_open();

    audit_set_pid(fd, getpid(), WAIT_YES);

    loop = ev_default_loop(EVFLAG_NOENV);

    ev_io_init(&monitor, monitoring, fd, EV_READ);
    ev_io_start(loop, &monitor);

    ev_loop(loop, 0);

    audit_close(fd);
    return 0;
}

УПД. Ваш аудит не будет работать, если вы не напишете:

audit_set_enabled(audit_fd, 1);

Другие вопросы по теме