Para evitar que los registros de Auditd llenen el disco, configura la rotación y los avisos de espacio libre en /etc/audit/auditd.conf. Antes de cambiar los valores, decide cuánto historial necesitas conservar y mide cuánto espacio ocupan los registros durante un día normal y durante un pico de actividad.
Limitar el tamaño y conservar el historial
Con ROTATE, Auditd abre un archivo nuevo cuando el registro activo alcanza el tamaño fijado en max_log_file. El parámetro num_logs determina cuántos archivos conserva. Este ejemplo fija un tamaño de 50 MiB por archivo y configura la conservación de 10 archivos de registro.
max_log_file = 50
max_log_file_action = ROTATE
num_logs = 10La rotación limita el número de archivos, no garantiza un número de días. Si aumenta el volumen de eventos, el historial se acorta. Si tu política no permite descartar registros antiguos automáticamente, KEEP_LOGS los conserva al rotar e ignora num_logs. En ese caso, necesitas archivarlos fuera de ese sistema de archivos para evitar que se acumulen en el mismo disco.
Avisar antes de que se agote el espacio
space_left fija el primer umbral de aviso y admin_space_left marca un segundo nivel, más crítico. Ambos se refieren al espacio libre del sistema de archivos donde Auditd guarda sus registros, no al tamaño de los registros en sí. En este ejemplo, los valores se expresan en MiB.
space_left = 500
space_left_action = SYSLOG
admin_space_left = 250
admin_space_left_action = SYSLOG
disk_full_action = SUSPEND
disk_error_action = SYSLOGEn esta configuración, Auditd envía avisos a syslog cuando se cruzan los umbrales y también si detecta un error de escritura o rotación. Los avisos no liberan espacio. Ajusta el primer umbral para que dé tiempo a intervenir, incluso durante un pico de actividad, y asegúrate de que alguien recibe esos avisos.
Si el disco se llena, SUSPEND detiene la escritura local aunque el servicio siga activo. Una vez liberado espacio, solicita que reanude la escritura con sudo auditctl --signal resume y comprueba que vuelven a aparecer eventos en el registro.
Aplicar los cambios y comprobar la retención
Guarda una copia de la configuración antes de editarla. Después de guardar los cambios, solicita la recarga y busca el evento DAEMON_CONFIG correspondiente a esa hora. Que el servicio siga activo no basta para confirmar que aceptó la configuración nueva.
sudo auditctl --signal reload
sudo ausearch --start recent --message DAEMON_CONFIG --interpretSi no aparece el evento de recarga, revisa los mensajes recientes con sudo journalctl -u auditd --since "10 minutes ago". Después, comprueba el espacio libre y cuánto historial abarcan los registros conservados.
df -h /var/log/audit
sudo aureport --logSi has cambiado la ruta de log_file, usa su directorio en el comando df. El informe de aureport --log muestra el intervalo de cada archivo. Revísalo tras varias rotaciones con la carga habitual del equipo. Si el registro más antiguo no llega al periodo que necesitas, ajusta la capacidad disponible o archiva los registros en otro destino.
Para instalar el servicio o configurar tus primeras reglas, consulta la guía de Auditd en Ubuntu.