Paket:

• CentOS (6): audit
• openSuSE (13.1): audit
• Debian (7): auditd

/etc/audit/audit.rules :

-w /etc/passwd -p wa

service auditd restart

touch /etc/passwd
tail /var/log/audit/audit.log
ausearch -f /etc/passwd

useradd -m klaus
tail /var/log/audit/audit.log
ausearch -f /etc/passwd

/etc/audit/audit.rules :

-e 2

Änderungen an /etc/audit/audit.rules werden jetzt erst nach reboot aktiv.

auditctl
aureport