smb audit

Привет. ОС какая? Иные события аудита наблюдаешь?

Debian GNU/Linux 11 (bullseye) Да, а вот именно переименования не вижу, а также перемещения

Тут говорится про renameat unlinkat. Источнику можно доверять, как мне кажется.

Спасибо за подсказку, но я не вижу все равно информации по переименованию вот я переименовывал файл в файл в 123123123 и я не вижу ничего с renameat

root@fileserver:~# cat /var/log/samba/audit.log | grep ‘123123123’ Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|connectpath|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|connectpath|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|stat|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|getxattr|ok|/share/domain/bb/123123123.txt|user.DOSATTRIB Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|get_dos_attributes|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|sys_acl_get_file|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|setxattr|ok|/share/domain/bb/123123123.txt|user.DOSATTRIB Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|set_dos_attributes|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|stat|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|getxattr|ok|/share/domain/bb/123123123.txt|user.DOSATTRIB Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|get_dos_attributes|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|stat|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|getxattr|ok|/share/domain/bb/123123123.txt|user.DOSATTRIB Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|get_dos_attributes|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|getxattr|ok|/share/domain/bb/123123123.txt|user.DOSATTRIB Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|get_dos_attributes|ok|/share/domain/bb/123123123.txt Oct 25 09:03:37 fileserver smbd_audit: TEST/bb|bb|listxattr|ok|/share/domain/bb/123123123.txt

попробуй разметить что бы можно было читать

и покажи smb.conf

Вот smb.conf

# Change this to the workgroup/NT-domain name your Samba server will part of
        workgroup = TEST
        realm = TEST.LOCAL
        security = ADS
#       auth methods = winbind
        winbind enum users = yes
        winbind enum groups = yes
        winbind use default domain = yes
        winbind separator = /
        winbind cache time = 30
        template homedir = /share/domain/%U
        template shell = /bin/sh
        idmap config * : backend = tdb
        idmap config * : range   = 10000-30000
        vfs objects = recycle crossrename full_audit
#       log level = 1 vfs:1
        full_audit:prefix = %u|%S
        full_audit:success = renameat mkdirat mknodat ntimes open read pwrite sendfile unlinkat unlink write
#       full_audit:failure = rmdir rename delete open close mkdir closedir write unlink create_file !opendir !readdir
        full_audit:facility = local5
        full_audit:priority = notice

        recycle:touch = yes
        recycle:touch_mtime = yes
        recycle:exclude = *.tmp *.TMP ~* Thumbs.db USB001
        recycle:directory_mode = 0777
        recycle:keeptree = yes

# log level = 1 vfs:1

попробуй раскоментировать, значение выставить на 0 vfs:2 и сервис не забудь перезапустить

еще. не знаю на сколько это критично, но обычно конфиг разделается на блоки, типо [global] [printers] и пр. testparm что говорит?

сделал, но толку нет, testparm без ошибок

Вообщем получилось решить, почему то rename мешал работе renameat

Гут. Описание параметров для full_audit в официальной документации отдельный вид искусства. И кстати, погуглив пару минут так и не нашел развернутого описания для этих параметров.