Surveiller les fichiers d'identité avec auditd

Exigence de conformité : toute modification des comptes et des droits d'administration doit être tracée.

Exigences

• Fichier /etc/audit/rules.d/identity.rules surveillant en écriture et changement d'attributs (-p wa), avec la clé identity : /etc/passwd, /etc/shadow, /etc/group, /etc/sudoers et le répertoire /etc/sudoers.d/
• Chargez les règles (augenrules --load) et vérifiez-les (auditctl -l)
• Une modification de /etc/sudoers a eu lieu ce matin : qui l'a faite ? (ausearch -k identity -i) → answer auteur <compte>