đôi khi tôi quan tâm đến việc theo dõi các kết nối TCP/UDP với thông tin chi tiết về quá trình bắt đầu kết nối
Tôi đã tìm thấy bài viết hữu ích về điều đó - Tìm quy trình chủ sở hữu kết nối TCP tồn tại trong thời gian ngắn
vì vậy tôi đã thực hiện:
auditctl -a thoát, luôn luôn -F arch=b64 -S connect -k MYCONNECT
và bắt đầu theo dõi các kết nối, nhưng sau một thời gian, tôi nhận thấy rằng bất kỳ mục nào trong audit.log có "SYSCALL=connect" đều chỉ nói về giao thức IPv4, tất cả chúng đều có giao diện như sau:
type=SYSCALL msg=audit(1626330176.452:56662005): arch=c000003e syscall=42 success=no exit=-115 a0=1b a1=7ffea6f24b00 a2=10 a3=2 items=0 ppid=1 pid=809 auid=4294967295 uid =0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=4294967295 comm="Trình quản lý mạng" exe="/usr/sbin/Trình quản lý mạng" subj=khóa không xác định ="MYCONNECT"ARCH=x86_64 SYSCALL=connect AUID="unset" UID="root" GID="root" EUID="root" SUID="root" FSUID="root" EGID="root" SGID="root" FSGID = "gốc"
type=SOCKADDR msg=audit(1626330176.452:56662005): saddr=0200005023E0AA540000000000000000SADDR={ fam=inet laddr=35.224.170.84 lport=80 }
type=PROCTITLE msg=audit(1626330176.452:56662005): proctitle="(kManager)"
trong đó fam=inet laddr=35.224.170.84 lport=80 - điểm đến để kết nối
tôi đã bật giao thức IPv6, điều này có thể được nhìn thấy qua
ip một
tôi có địa chỉ inet6 và IPv6, thông qua ip6tables tôi thấy rằng IPv6 đang hoạt động và có các kết nối nhưng tôi không thấy chúng trong audit.log - chỉ có các kết nối IPv6 như tôi đã đề cập ở trên
Có thể giám sát IPv6 thông qua auditd không?
