ファイル所有者や権限の変更に関するイベントをauditdで監査する設定方法を確認しました
下記資料を参考にしました。
NSA（National Security Agency）の『Guide to the Secure Configuration of Red Hat Enterprise Linux 5』
設定例
/etc/audit/audit.rulesに下記設定を追加します。
（設定例）
-a always,exit -F arch=ARCH -S chmod -S fchmod -S fchmodat -F auid>=500 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=ARCH -S chown -S fchown -S fchownat -S lchown -F auid>=500 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=ARCH -S setxattr -S lsetxattr -S fsetxattr -S removexattr -S lremovexattr -S fremovexattr -F auid>=500 -F auid!=4294967295 -k perm_mod
（設定例の監査内容）
・下記システムコールを監査します。
chmod
fchmod
fchmodat
chown
fchown
fchownat
lchown
setxattr
lsetxattr
fsetxattr
removexattr
lremovexattr
fremovexattr
・ログ記録の識別用に”perm_mod”という文字列を付加
オプションの説明
・-a
ルールを追加
・-S [システムコール名 又は システムコール番号|all]
監査対象のシステムコールを指定
・-k key
ログなどに記録されるレコードを後で識別できるように付加する文字列。管理者がログをある特定の監査記録を検索したり削除する際に使用できる。
・-F auid
ログインIDを監視
・-F arch
syscallのCPUアーキテクチャを指定。CPUアーキテクチャは’uname -m’で確認できます。”arch=b32″や”arch=b64″と指定します。