AUDISP-REMOTE(8) ابزارهای مدیریت سیستم AUDISP-REMOTE(8)

audisp-remote - افزونهای برای ثبت وقایع از راه دور

audisp-remote

audisp-remote یک افزونه برای توزیع‌کننده رویدادهای بازرسی (audit event dispatcher) است که ثبت وقایع از راه دور را به یک سرور تجمیع گزارش‌ها انجام می‌دهد. هنگامی که سیگنال SIGUSR1 به این افزونه ارسال شود، یک گزارش وضعیت در remote.state می‌نویسد.

اگر در حال تجمیع اطلاعات چندین ماشین هستید، باید فایل auditd.conf را ویرایش کرده تا name_format روی مقداری معنادار و log_format روی enriched تنظیم شود. بدین ترتیب می‌توانید مشخص کنید که رویداد از کجا آمده است و همچنین نام کاربری و گروه‌ها پیش از ارسال از ماشین، به‌صورت محلی مشخص و تفکیک (resolve) شوند.

باعث می‌شود برنامه audisp-remote یک گزارش وضعیت در remote.state در مسیر /run/audit بنویسد. فلگ suspend مشخص می‌کند که آیا ثبت وقایع به حالت تعلیق درآمده است یا خیر. فلگ remote_ended نشان می‌دهد که آیا اتصال توسط سرور با اعلام اینکه قادر به ثبت وقایع نیست قطع شده است یا خیر. فلگ transport_ok مشخص می‌کند که آیا اتصال به سرور از راه دور برقرار و سالم است یا خیر. مقدار queue_length تعداد رکوردهای در صف قرار گرفته برای ارسال به سرور از راه دور را نشان می‌دهد. مقدار max_queued_length اوج طول صف از زمان شروع به کار را نشان می‌دهد. این گزارش همچنین در صورت در دسترس بودن، میزان مصرف حافظه glibc را ثبت می‌کند.
باعث می‌شود برنامه audisp-remote در صورتی که ثبت وقایع به دلیل بروز خطا به حالت تعلیق درآمده باشد، آن را از سر بگیرد. 

/etc/audit/audisp-remote.conf
/etc/audit/plugins.d/au-remote.conf
/etc/audit/auditd.conf
/run/audit/remote.state

auditd.conf(8), auditd-plugins(5), audisp-remote.conf(5).

Steve Grubb

مه ۲۰۲۴ Red Hat