Paket:

• CentOS (6): audit
• openSuSE (13.1): audit
• Debian (7): auditd
• Ubuntu (18.04): auditd

• Debian (7): /etc/audit/audit.rules
• Ubuntu (18.04): /etc/audit/rules.d/passwd.rules
• CentOS (8): /etc/audit/rules.d/passwd.rules

-w /etc/passwd -p wa

service auditd restart

touch /etc/passwd
tail /var/log/audit/audit.log
ausearch -f /etc/passwd

useradd -m klaus
tail /var/log/audit/audit.log
ausearch -f /etc/passwd

/etc/audit/audit.rules :

-e 2

Änderungen an /etc/audit/audit.rules werden jetzt erst nach reboot aktiv.

auditctl
aureport