10.7. Definindo regras de Auditoria persistente

Para definir as regras de Auditoria que são persistentes nas reinicializações, você deve incluí-las diretamente no arquivo /etc/audit/rules.d/audit.rules ou usar o programa augenrules que lê as regras localizadas no diretório /etc/audit/rules.d/.

Note que o arquivo /etc/audit/audit.rules é gerado sempre que o serviço auditd é iniciado. Os arquivos em /etc/audit/rules.d/ utilizam a mesma sintaxe de linha de comando auditctl para especificar as regras. Linhas vazias e texto seguindo um sinal de hash (#) são ignoradas.

Além disso, você pode usar o comando auditctl para ler regras de um arquivo específico usando a opção -R, por exemplo:

# auditctl -R /usr/share/audit/sample-rules/30-stig.rules