Как использовать libaudit? - PullRequest
Новая
       13

Как использовать libaudit?

0 голосов
/ 22 мая 2019

Я пытаюсь понять, как работать с libaudit. Я хочу получать события о действиях пользователя, используя C / C ++.

Я не понимаю, как устанавливать правила и как получать информацию о действиях пользователя.

Например, я хочу получить информацию, когда пользователь создал каталог. 

    int audit_fd = audit_open();

    struct audit_rule_data *rule = (struct audit_rule_data *) malloc(sizeof(struct audit_rule_data));
    memset(rule, 0, sizeof(struct audit_rule_data));

    audit_rule_syscallbyname_data(rule, "mkdir");
    audit_add_watch_dir(AUDIT_DIR, &rule, "/tmp");
    audit_add_rule_data(audit_fd,
                        rule,
                        AUDIT_FILTER_USER,
                        AUDIT_ALWAYS);

    int rc;
    fd_set read_mask;
    FD_ZERO(&read_mask);
    FD_SET(audit_fd, &read_mask);

    struct timeval t;
    t.tv_sec  = 0;
    t.tv_usec = 300 * 1000;

    do
    {
        rc = select(audit_fd+1, &read_mask, NULL, NULL, &t /*NULL*/);

        struct audit_reply *rep = NULL;
        audit_get_reply(audit_fd, rep, GET_REPLY_NONBLOCKING, 0);

        if (rep != NULL)
        {
            printf("%s", rep->message);
            break;
        }
    }
    while (rc < 0);


    audit_close(audit_fd);

Этот код не работает, он не получает ответ от libaudit, что не так?

На самом деле мне нужно получить больше информации о пользователе: кто вошел в систему, что он запускал, что он пытался изменить и т. Д.

1 Ответ

0 голосов
/ 02 июня 2019

Я нашел решение. Вот пример минимального рабочего кода.

libaudit предоставляет интерфейс для добавления / удаления правил: 

int fd = audit_open();
struct audit_rule_data *rule = new audit_rule_data();

// what directory we will follow.
audit_add_watch_dir(AUDIT_DIR,
                    &rule,
                    "/etc");

// setting rule.
audit_add_rule_data(fd,
                    rule,
                    AUDIT_FILTER_EXIT,
                    AUDIT_ALWAYS);

// or removing rule.
audit_delete_rule_data(fd,
                       rule,
                       AUDIT_FILTER_EXIT,
                       AUDIT_ALWAYS);

audit_close(fd);

Чтобы установить какое-то конкретное событие и установить дополнительный фильтр, вам нужно сделать что-то вроде этого: 

int fd = audit_open();

audit_rule_syscallbyname_data(rule_new, "open");
audit_rule_syscallbyname_data(rule_new, "close");

// Set extra filter, for example, follow the user with id=1000.
char pair[] = "uid=1000";
audit_rule_fieldpair_data(&rule_new, pair, AUDIT_FILTER_EXIT);

audit_add_rule_data(fd, rule_new, AUDIT_FILTER_EXIT, AUDIT_ALWAYS);

audit_close(fd);

Чтобы сделать исключение из правил, вам необходимо: 

audit_rule_syscallbyname_data(rule, "mkdir");
char pair[] = "path=/etc";
audit_rule_fieldpair_data(&rule,
                          pair,
                          AUDIT_FILTER_EXIT);
audit_add_rule_data(fd,
                    rule,
                    AUDIT_FILTER_EXIT,
                    AUDIT_NEVER);

Для получения сообщений от аудита: 

void monitoring(struct ev_loop *loop, struct ev_io *io, int revents)
{
    struct audit_reply reply;

    audit_get_reply(fd, &reply, GET_REPLY_NONBLOCKING, 0);

    if (reply.type != AUDIT_EOE &&
        reply.type != AUDIT_PROCTITLE &&
        reply.type != AUDIT_PATH)
    {
        char *buf = new char[MAX_AUDIT_MESSAGE_LENGTH];

        snprintf(buf,
                 MAX_AUDIT_MESSAGE_LENGTH,
                 "Type=%s Message=%.*s",
                 audit_msg_type_to_name(reply.type),
                 reply.len,
                 reply.message);

        printf("EVENT: %s\n", buf);

    }
}

int main()
{
    struct ev_io monitor;
    fd = audit_open();

    audit_set_pid(fd, getpid(), WAIT_YES);

    loop = ev_default_loop(EVFLAG_NOENV);

    ev_io_init(&monitor, monitoring, fd, EV_READ);
    ev_io_start(loop, &monitor);

    ev_loop(loop, 0);

    audit_close(fd);
    return 0;
}

UPD. Ваш аудит не будет работать, если вы не напишите: 

audit_set_enabled(audit_fd, 1);
...