Reglas de auditoría

Una regla de llamada al sistema tiene tres partes. La acción y la lista (always,exit: registrar al terminar la llamada), los filtros (-F arch=b64: solo programas de 64 bits) y la llamada vigilada (-S execve: la ejecución de programas). Al final, la etiqueta -k pone una clave que luego sirve para buscar. Una vigilancia de archivo, con -w, tiene su propia forma: una ruta y los permisos vigilados (wa: escritura y cambio de atributos).

Abre reglas_del_archivo y mira las reglas 6 y 9.

La clave no cambia lo que se registra: es una etiqueta. Quien investiga busca por clave y obtiene solo los eventos de esa regla, sin recorrer todo el archivo. Por eso conviene que cada requisito de la política tenga su clave propia y que el nombre diga lo que vigila.

Un auditor pregunta por los cambios al directorio de reglas de sudo.

Las reglas se evalúan en orden y, para un mismo evento, la primera que coincide decide. Una exclusión (never) debe ir antes de la regla amplia que quiere recortar; si va después, nunca se alcanza. El equipo pidió quitar el ruido de cron. Compara dónde está la exclusión con el resultado de la búsqueda de la mañana en resultado_de_la_busqueda: si funcionara, no habría eventos de cron con la clave de ejecución.

Un núcleo de 64 bits puede ejecutar también programas de 32 bits, y las llamadas de cada arquitectura se numeran distinto. Una regla con arch=b64 no ve las llamadas de un programa de 32 bits; para cubrirlas hace falta repetir la regla con arch=b32. Revisa cada llamada vigilada del archivo y comprueba si tiene las dos versiones.

La regla 10, -e 2, pone la configuración de auditoría en modo inmutable: mientras el sistema siga encendido, nadie puede cambiar ni borrar reglas, ni siquiera root, y solo un reinicio la libera. Eso protege el registro de que alguien lo apague para actuar sin dejar rastro, y tiene un costo: un error en las reglas queda fijo hasta el siguiente arranque.