AUDITD-PLUGINS(5)  <?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?>

<?><?><?> (NAME)
       auditd-plugins - <?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?> auditd

<?><?><?><?><?><?><?> (DESCRIPTION)
       <?><?><?><?> auditd <?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?>
       <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?> (multiplex)
       <?><?><?>. <?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?> <?><?><?><?><?><?> <?><?><?><?> <?>
       <?><?><?><?> <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?>
       <?><?><?><?> <?><?> <?><?><?><?><?> <?> <?><?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>. <?><?><?><?><?><?>
       <?><?> <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?> SIGTERM
       <?><?> SIGHUP <?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?> <?><?> <?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?><?> <?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?><?>
       <?><?><?><?><?>.

       <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?><?><?> <?><?><?><?><?><?><?> <?><?> /etc/audit/plugins.d
       <?><?><?>. <?><?> <?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?> <?><?><?> <?><?><?><?>
       <?><?> <?><?><?><?> <?><?><?><?><?> plugin_dir <?><?> <?><?><?><?>
       auditd.conf <?><?><?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?>
       <?><?><?> auditd <?><?><?><?><?><?><?><?><?><?><?> <?><?> <?><?>
       <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?>
       <?><?><?><?><?> <?><?><?>.

       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?> <?> <?><?> <?><?><?><?><?><?><?><?><?> <?><?>
       <?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?>
       <?><?><?>. <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?><?> <?> <?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?>
       <?><?> <?><?><?><?><?> max_restarts <?><?> <?><?><?><?> auditd.conf
       <?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?>
       <?><?>.

       <?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?>
       <?><?><?><?><?> <?><?><?> <?><?> <?><?> <?><?><?><?> (.) <?><?>
       <?><?><?> <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?><?>
       <?><?><?> <?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?> <?><?><?> <?>
       <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>.
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
       <?><?> <?><?> <?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?> (=) <?><?><?><?>
       <?><?><?><?><?><?><?><?> <?> <?><?><?><?><?> <?><?> <?><?><?>
       <?><?><?><?><?><?><?>. <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?> <?><?><?>:

       active <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?>
              <?><?><?><?> yes <?><?> no <?><?><?><?><?>.

       direction
              <?><?><?><?><?> <?><?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?>
              <?><?><?><?><?><?> <?><?><?><?><?> <?> <?><?><?><?>
              <?><?><?><?><?><?>. <?><?><?><?> <?><?><?><?><?><?><?><?><?><?>
              <?><?><?><?> in <?><?> out <?><?><?><?><?>. <?><?><?><?><?>
              <?><?> <?><?><?><?><?> <?><?><?> <?><?><?><?><?>
              <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?>
              <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?>
              <?><?><?><?> <?><?> <?><?><?><?> <?><?> <?><?><?><?><?>
              <?><?><?><?> <?><?><?>. <?><?><?><?><?><?> <?><?><?>
              <?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?>
              <?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?>
              <?><?><?><?><?><?><?><?> <?><?><?>. <?><?><?><?>:
              <?><?><?><?><?><?><?><?><?> <?><?><?><?><?> (inbound) <?><?>
              <?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
              <?><?><?><?><?><?><?><?>.

       path   <?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?>
              <?><?><?><?><?><?> <?><?><?>. <?><?> <?><?><?><?>
              <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?><?><?>
              <?><?><?><?><?><?> <?><?><?> <?><?><?><?><?> <?><?><?>
              <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?>.

       type   <?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?><?>
              <?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?><?><?><?><?>
              <?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?>.
              <?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?>
              <?><?><?><?>: always <?><?> <?><?><?><?> <?><?><?><?><?><?>
              <?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?> <?><?><?>
              <?> <?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?>. <?><?>
              <?><?><?><?> <?><?> <?><?><?><?><?><?><?><?><?><?>
              <?><?><?><?><?> (builtin) <?><?><?><?><?> <?><?><?><?>
              <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>
              <?><?> always <?><?><?>.

       args   <?><?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?>
              <?><?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?>
              <?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>.
              <?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?>
              <?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
              <?><?><?><?><?><?><?><?> <?> <?><?><?> <?><?><?><?><?>
              <?><?><?><?> <?><?><?><?><?><?><?><?>
              <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
              <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
              <?><?><?><?> <?><?><?><?><?><?>. <?><?> <?><?><?>
              <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?> <?>
              <?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?>.

       format <?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?>
              <?><?><?> <?><?><?><?> binary <?> string <?><?><?><?><?>.
              <?><?><?><?><?> binary <?><?><?><?><?><?><?> <?><?>
              <?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?>
              <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?>
              <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?>
              <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>.
              <?><?><?><?><?> string <?><?> <?><?><?><?><?><?> <?><?><?><?><?>
              <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?> <?><?><?>
              <?><?><?><?> <?><?> <?><?> <?><?><?><?> <?><?><?><?><?>
              <?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?>
              <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
              <?><?><?><?><?> <?><?><?>. <?><?><?><?><?> <?><?><?><?><?><?><?>
              <?><?> string <?><?><?>.

<?><?><?><?> (NOTE)
       <?><?><?><?> auditd <?><?> <?><?> <?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> (<?><?><?><?><?> q_depth
       <?><?> <?><?><?><?> auditd.conf <?><?> <?><?><?><?><?><?>
       <?><?><?><?>). <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?>
       <?><?> <?><?> <?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?> <?> <?><?>
       <?><?> <?><?><?><?> <?><?><?><?> (dequeue) <?> <?><?> <?><?><?><?>
       <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?> <?><?> <?><?> <?><?><?><?><?> <?><?><?>
       <?><?><?><?><?> <?><?><?><?><?><?>. <?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?><?><?> <?><?>
       <?><?><?><?><?> auditd <?><?> <?><?><?><?><?> <?><?>. <?><?> <?><?>
       <?><?><?><?><?> <?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?>
       (root) <?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?> <?><?>
       <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?> auditd
       <?><?><?><?> <?><?><?><?>:

       auditctl --signal cont ; sleep 1 ; cat /var/run/auditd.state

       <?><?><?> <?><?> <?><?><?><?><?> auditd <?><?> <?><?><?><?>
       <?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?> <?><?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?><?><?><?> (backlog)
       <?><?><?><?> <?><?><?><?><?><?> <?><?><?>. <?><?> <?><?><?><?><?>
       <?><?> <?><?> <?><?><?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?>
       <?><?><?><?> <?><?> <?><?><?><?><?> backlog_wait_time <?><?><?><?>
       <?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?>
       <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?>
       <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?> <?><?><?><?><?><?> <?><?> <?><?><?>. <?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?> <?><?><?><?><?>
       <?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?><?>.
       <?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?>
       <?><?><?><?><?> <?><?><?>:

       auditctl -s

       <?><?><?><?><?> <?><?><?><?><?> <?> <?><?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?>
       <?><?> <?><?> <?><?><?><?><?> <?><?><?><?> <?> auditd <?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?> <?>
       <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?>
       <?><?><?><?><?><?>.

<?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?><?><?> (NOTES
       FOR DEVELOPERS)
       <?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?> <?><?><?><?><?><?> <?><?><?><?><?>
       <?><?><?><?> (root) <?><?><?><?> <?><?><?><?><?> <?><?>. <?><?><?>
       <?><?> <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?> <?><?><?><?> (uid/gid)
       <?><?> <?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?>
       <?><?><?> <?><?> <?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> (exploit)
       <?><?><?><?> <?><?><?><?>. <?><?> <?><?><?><?><?> <?><?> <?><?><?><?>
       <?><?> <?><?><?> <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
       (capabilities) <?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?> libcap-ng <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?>.

       <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?> <?>
       <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?>
       <?><?><?> <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?> <?><?><?> auditd <?><?> <?><?><?> <?><?><?><?><?><?><?>.
       <?><?><?><?> <?><?><?> <?><?><?><?> <?><?><?><?><?><?> (signal mask)<?>
       <?><?><?><?><?><?> <?><?><?><?><?><?> (sigaction)<?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?> (umask) <?> <?><?><?><?><?><?><?><?>
       <?><?><?><?><?> (environmental variables) <?><?> <?><?>
       <?><?><?><?><?><?> <?><?><?> <?><?><?><?><?> <?><?><?><?>. <?><?><?><?>
       <?><?><?><?><?><?><?> auditd <?><?> <?><?><?><?><?> <?><?><?><?> <?><?>
       <?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?>. <?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?><?> SIGTERM <?> SIGHUP <?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?>. <?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?> auditd <?><?> <?><?>
       <?><?><?> <?><?><?><?><?><?> <?><?><?>. <?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?> <?><?><?><?> <?><?> <?><?><?>
       <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?> <?><?><?><?> systemd <?><?><?><?><?>
       <?><?><?><?><?><?><?>. <?><?><?><?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?><?> (nice) <?><?><?><?> auditd <?><?><?>
       <?><?> <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?> <?><?><?> <?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?><?><?> <?><?><?><?><?>
       <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?> <?><?><?><?>.

       <?><?><?><?> auditd <?><?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?><?><?><?><?> stdin <?><?>
       <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?>.
       <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?> <?><?><?>
       <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?> <?><?><?><?>
       <?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?>.
       <?><?><?> <?><?><?> <?><?> <?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?>
       <?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?> <?><?> <?><?>
       <?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?> <?><?><?>. <?><?>
       <?><?><?><?><?> <?><?> <?><?><?><?> <?><?> <?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?> auparse_feed <?><?><?><?><?> <?><?><?><?><?><?> <?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?>.

<?><?><?><?><?><?><?> (FILES)
       /etc/auditd/auditd.conf
       /etc/audit/plugins.d

<?><?><?><?><?><?> <?><?><?><?><?><?> (SEE ALSO)
       auditd.conf(5), auditd(8), execve(2), auparse_feed(3).

<?><?><?><?><?><?><?> (AUTHOR)
       Steve Grubb

Red Hat                           2024-01-01                 AUDITD-PLUGINS(5)