Suivre auditd écrit dans /var/log/audit/audit.log, lisible uniquement par root. L’exportation la plus rapide d’une fenêtre temporelle au format original est :
sudo ausearch --raw -ts yesterday > web-03_audit.log
Si /var/log/audit n’existe pas, auditd n’est pas installé. C’est le cas par défaut sur Debian et Ubuntu. Les événements d’audit du noyau vont alors au journal, où journalctl _TRANSPORT=audit les trouve.
auditd est la réponse de Linux à « qui a exécuté quoi et a touché quel fichier » : exécution de processus, accès aux fichiers, modifications des autorisations et des comptes, jusqu’à l’appel système. Prime Core possède 1350 règles de détection pour les données auditd, mappées à 440 techniques MITRE ATT&CK. Parmi elles : utilisation malveillante de shell (T1059.004), clés SSH implantées (T1098.004) et modifications de permissions sur des fichiers sensibles (T1222.002).
Avant de commencer
Est-ce en cours d’exécution, et que capture-t-il ?
systemctl is-active auditd
sudo auditctl -l
Les systèmes de la famille Red Hat installent auditd par défaut ; Debian et Ubuntu nécessitent le paquet auditd. Si auditctl -l affiche Aucune règle, vous obtenez toujours une base de connexions, d’authentifications et de refus SELinux. Vous n’obtiendrez pas d’enregistrements d’exécution de commandes ou d’accès aux fichiers, cependant, car personne ne les a demandés.
Exclusivement root. /var/log/audit est strictement verrouillé, donc prévoyez sudo.
La rotation est propre à auditd. auditd effectue lui-même la rotation de ses journaux, basée sur max_log_file et num_logs dans /etc/audit/auditd.conf, vers audit.log.1, audit.log.2, etc. L’historique plus ancien se trouve dans ces fichiers.
Il faut s’habituer au format. Un événement est souvent constitué de plusieurs lignes (SYSCALL, EXECVE, CWD, PATH, PROCTITLE) partageant le même tampon msg=audit(<epoch>:<serial>). Les valeurs avec espaces sont codées en hexadécimal. C’est normal.
Étape 1 : Exporter avec ausearch
ausearch filtre par temps, type d’enregistrement ou clé de règle, et –raw conserve le format original :
# un jour, brut
sudo ausearch --raw -ts yesterday -te today > web-03_audit.log
Les mots-clés aujourd’hui, hier, cette-semaine et récent (les dix dernières minutes) vous évitent les formats de date. Les dates explicites suivent votre locale, 10/19/2026 00:00:00 en en_US, d’où proviennent la plupart des surprises « aucune correspondance ».
Pour un téléchargement, gardez –raw : les enregistrements originaux contiennent plus que la vue interprétée.
Si vous préférez simplement tout prendre, concaténez les fichiers du plus ancien au plus récent :
sudo cat $(ls -tr /var/log/audit/audit.log*) > web-03_audit_all.log
Étape 2 (sans auditd) : Obtenez les événements d’audit du journal
Sans auditd, les enregistrements d’audit du noyau atteignent toujours journald :
sudo journalctl _TRANSPORT=audit --since yesterday -o json --no-pager > web-03_audit.jsonl
Avec aucune règle chargée, attendez-vous principalement à des connexions et des messages SELinux ou AppArmor, mais c’est mieux que rien.
Télécharger, assainir et revoir dans LogTotal
[PROOF: confirm LogTotal parses raw auditd format. If it doesn’t yet, publish this guide with the journal JSON route only, or hold it until support lands.]
- Télécharger. Ouvrir logtotal.com et déposez le fichier.
- Assainir. [PROOF: what gets masked in auditd records: usernames, hostnames, IPs, paths]. Look it over before you continue.
- Revoir.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| /var/log/audit n’existe pas | auditd n’est pas installé | Utilisez la méthode du journal (Étape 2) |
| Permission refusée | Pas root | sudo |
| Seulement les connexions, pas les commandes | Aucune règle d’exécution chargée | Prévu ; ajoutez des règles pour l’avenir |
| <aucune correspondance> par ausearch | Le format de la date ne correspond pas à votre locale | Utilisez aujourd’hui, hier, cette-semaine |
| « limite de backlog dépassée » dans les messages du noyau | Le noyau a perdu des événements d’audit sous charge | Considérez le journal comme contenant des trous ; augmentez backlog_limit |
FAQ
Dois-je activer auditd maintenant ?
Oui, pour la prochaine fois. Les règles décident de tout, donc commencez avec un ensemble de règles connu plutôt que d’écrire les vôtres à partir de zéro. Le paquet audit fournit des exemples de règles, et il existe des ensembles communautaires bien maintenus.
auditd ou le journal : quel est le véritable enregistrement ?
Avec auditd en cours d’exécution, /var/log/audit/audit.log est complet. Le journal peut contenir une copie partielle, selon la configuration.
