Fedoraでは、監査はファイルイベントを記録しません（ただし、ネットワークイベントでは機能します）。

監査を使用してファイルへのアクセスを監視したいので、次のルールを追加しました。

-w /home/test.txt -k monitoring-test

ルール（sudo service auditd restart）を再ロードしてファイルを変更しましたが、/home/test.txtログにはそのキーを使用するイベントは生成されません。sudo ausearch -k monitoring-test追加されたルールのイベントのみが返されます。

time->Fri May  5 13:32:19 2023 type=CONFIG_CHANGE msg=audit(1682311231.581:1719): auid=1000 ses=3 subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 op=add_rule key="monitoring-test" list=4 res=1

奇妙なことは、このようにネットワーク監視ルールを追加した場合

-a 常に、終了 -F Arch=b64 -S 受け入れ、接続 -F キー=ネットワーク外部アクセス

そのキーを含むログメッセージを受信しました。

私は同じ多くの投稿を読んだ。このチュートリアルまたは赤い帽子のポストしかし、彼らの解決策のどれも私の問題を解決しませんでした。編集したファイルのログが受信されない理由を知っている人はいますか？

カーネルには次のフラグがあります。

sudo grep CONFIG_AUDIT /boot/config-uname -r

CONFIG_AUDIT=y
CONFIG_AUDITSYSCALL=y
CONFIG_AUDIT_ARCH=y

CONFIG_AUDIT_WATCH = yが見つからない問題はありますか？ここに答えてください？

---

記録のために、私の/etc/audit/audit.rulesは次のようになります（上記のファイル監視ルールを永久に追加した後）。

 ## This file is automatically generated from /etc/audit/rules.d
 -D
 
 
 -a task,never
 -w /home/test.txt -k monitoring-test

そしてsudo auditctl -l戻ってくる

-a never,task
-w /home/test.txt -p rwxa -k monitoring-test

私のオペレーティングシステムはFedoraで、レビューバージョンは3.1-2です。