Daniel Allaire
5f5af70a9c
auditd tournait, onze regles etaient armees, et rien de tout cela ne servait a grand-chose. Quatre manques, mesures avant d etre combles. 1. Rien ne sortait. Alloy ne contenait aucune reference a l audit et les cinq greffons etaient inactifs. Il lit maintenant audit.log et le pousse vers Loki — sans toucher une permission, alloy etant deja dans le groupe adm. On ecarte le greffon syslog : journald limite le debit, et une rafale d evenements est exactement le moment qui compte. 2. Aucune sonde. Elle mesure la COLLECTE, pas l armement : le nombre de regles est precisement le chiffre qui restait bon pendant la panne du 2026-08-30. Il part en perfdata, jamais en verdict. 3. Retention non declaree. Mesuree a 4,6 Mo/jour au repos ; portee de 40 a 128 Mo. Depuis (1), le local n est plus l archive mais un tampon. 4. Les regles ignoraient la cle privee de l hote. -w /etc/step/ partout, et -w /etc/step-ca/ sur la seule autorite : auditctl refuse un watch vers un chemin absent et fait echouer le chargement entier. Verifie sur l autorite seule d abord, puis 14/14 : regles armees, auditd actif, sonde a 0, et les quatorze hotes presents dans Loki sous job=audit. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
25 lines
1.4 KiB
YAML
25 lines
1.4 KiB
YAML
---
|
|
# Supervision derivee du groupe. Voir docs/supervision-conception.md.
|
|
#
|
|
# POURQUOI CETTE SONDE EXISTE, ET CE QU'ELLE NE MESURE PAS.
|
|
#
|
|
# `auditd` est le seul service de securite du socle dont la panne soit SILENCIEUSE et
|
|
# TROMPEUSE a la fois. Le 2026-08-30, sur les quinze machines de Chezlepro, un doublon
|
|
# dans `rules.d/` faisait echouer `audit-rules.service` — dont le demon depend. Resultat :
|
|
# onze regles armees dans le noyau, `auditctl -l` les affichant toutes, et personne pour
|
|
# collecter. Pendant tout ce temps le deploiement rapportait `failed=0`.
|
|
#
|
|
# CE QU'ON NE MESURE PAS : le nombre de regles. C'est exactement le chiffre qui restait
|
|
# bon pendant la panne ; en faire un verdict aurait donne du vert. Il part en perfdata,
|
|
# pour que le diagnostic distingue « rien d'arme » de « arme mais rien de collecte ».
|
|
#
|
|
# CE QU'ON MESURE : le service tourne, ET le journal a bouge recemment. Les deux, parce
|
|
# qu'un `auditd` vivant qui n'ecrit plus — disque plein, `disk_full_action = SUSPEND` —
|
|
# laisse la meme trace qu'un audit en bonne sante pour qui ne regarde que `systemctl`.
|
|
sondes:
|
|
- nom: audit
|
|
ttl: 5400
|
|
raison: >-
|
|
La piste d'audit s'ecrit-elle vraiment ? Des regles armees dans le noyau ne
|
|
prouvent pas qu'un demon collecte : le 2026-08-30, quinze machines ont eu les
|
|
deux apparences de la sante sans qu'une seule ligne soit ecrite.
|