J'ai configuré mes règles auditd pour enregistrer lorsque l'heure du système est modifiée
Cependant, nos serveurs sont des machines virtuelles et ont donc des problèmes avec le décalage horaire. Nous devions résoudre ce problème, c'est pourquoi nous avons utilisé un outil VMware pour synchroniser régulièrement l'heure.
Mon problème maintenant est que mes journaux d'audit sont submergés d'entrées de changement d'heure comme celle-ci :
Jun 1 15:08:39 ***** audispd: node=****** type=SYSCALL
msg=audit(1338559719.053:344291):
arch=c000003e syscall=159 success=yes exit=5 a0=7ffff2084050 a1=0 a2=144b
a3=485449575f4c4c55 items=0 ppid=1 pid=1348 auid=4294967295 uid=0 gid=0
euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=4294967295
comm="vmtoolsd" exe="/usr/lib/vmware-tools/bin64/appLoader" key="time_change"Comment puis-je exclure cet outil VMware de l'audit, tout en capturant toujours le changement d'heure par un utilisateur ?
Voici mes règles d'audit actuelles pour enregistrer les changements d'heure :
-a always,exit -F arch=b32 -S adjtimex -S settimeofday -k time_change
-a always,exit -F arch=b32 -S clock_settime -k time_change
