El modo inmutable de Auditd impide modificar la configuración de auditoría activa en el kernel. Se activa con -e 2 y dura hasta el siguiente reinicio del equipo. Es útil cuando las reglas ya son estables y quieres evitar que se cambien mientras el sistema está en funcionamiento.
Validar las reglas antes de bloquearlas
Consulta primero el estado de la auditoría. Si enabled ya vale 2, la configuración está bloqueada. Puedes preparar cambios en disco, pero tendrás que reiniciar el equipo para aplicarlos.
sudo auditctl -sSi la configuración no está bloqueada y vas a activar este modo por primera vez, deja -e 2 fuera de los archivos de reglas mientras haces la revisión. Carga la política sin el bloqueo, comprueba que aparecen las reglas esperadas y verifica que registran la actividad que quieres auditar.
sudo augenrules --load && sudo auditctl -lSi la carga devuelve un error o falta alguna regla, resuélvelo antes de continuar. La opción augenrules --check solo indica si el archivo combinado necesita actualizarse. No comprueba que el kernel acepte las reglas ni que se generen los eventos esperados.
Activar el bloqueo y confirmar que está vigente
Añade la siguiente línea a /etc/audit/rules.d/99-finalize.rules. Si ese archivo ya existe, edítalo sin sobrescribir el resto de su contenido.
-e 2augenrules procesa los archivos .rules en orden natural y coloca la última directiva -e que encuentra al final del archivo combinado. Si ya tienes otra directiva -e, revisa cuál queda en último lugar para asegurarte de que se aplica -e 2.
sudo augenrules --load && sudo auditctl -sSi la carga termina sin errores y el campo enabled muestra 2, el bloqueo está activo. Desde ese momento, el kernel rechazará los intentos de modificar la configuración de auditoría activa.
Qué cambia para el próximo mantenimiento
El bloqueo protege la configuración cargada en el kernel. No impide editar los archivos de reglas en disco ni protege por sí solo los registros. Reiniciar únicamente el servicio auditd tampoco quita el bloqueo.
Para modificar las reglas, prepara la nueva política en /etc/audit/rules.d/ y programa un reinicio del equipo. Si mantienes -e 2 como última directiva, el bloqueo se activará de nuevo al cargar la política. Después del arranque, comprueba con auditctl -l que están las reglas previstas y con auditctl -s que el estado es el esperado.
Si todavía estás definiendo qué actividad registrar, empieza por la guía de Auditd en Ubuntu y deja el bloqueo para cuando hayas validado la política.
