журналирование в кентавре [решено]

[c-villain]

в кентавре, как я понимаю, отдельной учетной записи для аудирования нет... все администрирование ведется из под рута?
Вопрос: есть ли в кентавре предупреждение о грядущем переполнении? и если есть, какая реакция у него?

[c-villain]

и еще, можно ли как-то отделить аудиторов от админов, т.е. сделать например следующее: чтобы рут не мог просмарить логи с инфой. chmod и удаление из группы adm не работает)) он по-прежнему смотрит и все) может есть какой-то другой способ?

[ruslandh]

Мне кажется, что  полного аудирования в Кентавре просто нет. Есть только отдельные части. Для этого нужен специальный дистрибутив, типа MCBC. или "большой напильник" и большое желание.

Хорошо, если я ошибаюсь.

[Rezedent12]

Вообще, советую посмотреть права на каталоги и файлы в /var/log
Если каталог доступен только для рута, то ведь можно создать группу auditor и присвоить нужные файлы этой группе, а в неё внести нужных пользователей.
Можно даже просто создать пользователя auditor и появиться одноимённая группа.
Так же, пользователи группы adm имеют исключительно права на чтение некоторых каталогов в /var/log . Пользователь может быть кстати в множестве групп. Откройте файл /etc/group и посмотрите (редактировать можно).
Группа root даёт право на чтение данных доступных руту для редактирования.
Касаемо переполнения, что угрожает переполниться?

[c-villain]

хм... да, похоже на то)))
и еще в каком логе хранится инфа о том, что какой-то юзер сделал su? (если вообще такой лог есть)...
или более обще: как вообще аудит реагирует на su?

[ruslandh]

/var/log/auth/all
/var/log/auth/secure

[c-villain]

Вообще, советую посмотреть права на каталоги и файлы в /var/log
Если каталог доступен только для рута, то ведь можно создать группу auditor и присвоить нужные файлы этой группе, а в неё внести нужных пользователей.
Можно даже просто создать пользователя auditor и появиться одноимённая группа.
Так же, пользователи группы adm имеют исключительно права на чтение некоторых каталогов в /var/log . Пользователь может быть кстати в множестве групп. Откройте файл /etc/group и посмотрите (редактировать можно).
Группа root даёт право на чтение данных доступных руту для редактирования.
Касаемо переполнения, что угрожает переполниться?

Угу, создать нового пользователя-аудитора, или присвоить соответсвующие права какому-то пользователю - эт не проблема... по умолчанию, все папки в /var/log доступны только на чтение группе adm (помимо root- которму можно все)... соотвестенно, можно просто пользователя внести в эту группу) просто интересно, можно как-то именно root-а ограничить в просмотре аудита...?

Касаемо переполнения, что угрожает переполниться?

вообще, интересно, может ли аудит переполниться..? и система реагирует на это?=)

[c-villain]

/var/log/auth/all
/var/log/auth/secure

Отлично, спасибо  :)

[c-villain]

таким образом, открытым остается вопрос: при переполнении аудита линукс как-то оповещает об этом или нет?

[ruslandh]

А что такое "переполнение аудита" ? Как я понимаю логи аудита так-же обрабатываются logratate, как и все остальные логи. И там-же настраивается политика их сохранения и удаления.

[c-villain]

На примере этой утилиты для ротации... Если размер файла близок к размеру для ротации, будет ли какое- то предупреждение об этом? и как в этом случае произойдет ротация? автоматически или утилиту надо вызывать?

[ruslandh]

см man logrotate

PS Он на русском языке

[c-villain]

ок, спс)
и все таки размер каталога /var я должен сам отслеживать?

[c-villain]

спасибо, разобрался.