Si Auditd ya está registrando eventos, aureport te ayuda a ver qué actividad destaca sin revisar el registro línea por línea. Puedes empezar con un resumen del día, ver qué rutas acumulan operaciones fallidas y usar ausearch para investigar un evento concreto.
Obtener un resumen de la actividad del día
Este comando resume la actividad registrada desde el comienzo del día hasta el momento de la consulta.
sudo aureport --summary --start today --end nowLee cada cifra junto a su etiqueta. El resumen reúne recuentos de distintas categorías, como autenticaciones, cambios de configuración y eventos de auditoría. Sirve para decidir dónde mirar con más detalle. Una cifra alta, por sí sola, no indica que haya un incidente.
Ver qué rutas concentran más fallos
Para centrarte en las operaciones fallidas relacionadas con archivos, combina el informe de archivos con el filtro --failed. La opción --file también abarca sockets Unix, así que no todas las rutas del informe tienen por qué corresponder a archivos normales.
sudo aureport --file --failed --summary --start today --end nowEl resumen permite ver qué rutas se repiten. Si una destaca, quita --summary para consultar las filas del informe detallado.
sudo aureport --file --failed --start today --end nowUn fallo repetido puede ser tan sencillo como un servicio que intenta abrir un archivo para el que no tiene permisos. Antes de sacar conclusiones, fíjate en la ruta, la hora y el programa asociado a la operación.
Abrir un evento concreto con ausearch
Localiza el número de evento en la fila que te interesa. Si, por ejemplo, es 842, puedes recuperar sus registros con el comando siguiente. Sustituye ese número por el que aparezca en tu informe.
sudo ausearch --event 842 --start today --end now --interpretSi aparecen varias coincidencias, acota la búsqueda alrededor de la hora que figura en el informe. Una vez localizado el evento, podrás revisar qué cuenta y qué proceso intervinieron, sobre qué objeto y con qué resultado.
Qué no te dice el informe
aureport resume lo que quedó registrado. Si no aparecen fallos para una ruta, eso no demuestra que no los hubiera. Comprueba que las reglas de auditoría cubrían esa actividad y que estás consultando el periodo correcto. Si necesitas revisar la configuración, empieza por la guía de Auditd en Ubuntu.
