# Auditbeat 7.3: Как добавить исключение auditd

**URL:** <https://discuss.elastic.co/t/auditbeat-7-3-auditd/205874>\
**Category:** Вопросы на русском языке\
**Created:** [October 30, 2019, 2:18pm UTC](https://discuss.elastic.co/t/auditbeat-7-3-auditd/205874 "2019-10-30T14:18:19Z")\
**Posts on this page:** 6\
**Page:** 1

<div class="post-metadata">

**Author:** ![Igor\_Belyakov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_belyakov/32/52615_2.png) [@Igor\_Belyakov](https://discuss.elastic.co/u/Igor_Belyakov)\
**Post date:** [October 30, 2019, 2:18pm UTC](https://discuss.elastic.co/t/auditbeat-7-3-auditd/205874/1 "2019-10-30T14:18:19Z")

</div>

Коллеги, добрый день.

Столкнулся с задачей: Необходимо исключить определенный процесс из аудита.  
Для аудита использую модуль auditd в составе Auditbeat 7.3 на centos7.  
На сервере есть процесс с именем /usr/bin/processname который генерирует слишком много ложных срабатываний.  
В документации на auditd сказано, что процесс можно исключить по следующим признакам:

- target file path, where applicable
- process PID, PPID
- process user, group

Следовательно, для решения задачи я попытался добавить два правила:

1. -a always,exclude -F exe=/usr/bin/processname -k exclude\_processname
2. -a always,exclude -F path=bin/processname -k exclude\_processname

Но при попытке запуска аудитбит выдал следующее сообщение об ошибке:  
Exiting: 1 error: 1 error: failed to unpack the auditd config: 1 error: failed loading rules: 1 error: at (audit\_rules at auditbeat.yml): 21: failed to interpret rule '-a always,exclude -F path=/bin/processname -k exclude\_processname': failed to add filter '{2 path = /bin/processname}': field 'path' cannot be used the exclude flag accessing 'auditbeat.modules.0' (source:'/etc/auditbeat/auditbeat.yml')

И в итоге я запутанся и теперь не понимаю, как можно поностью отключить аудит событий для определенного процесса.  
Коллеги подскажите, где я допустил ошибку?)

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [October 30, 2019, 2:29pm UTC](https://discuss.elastic.co/t/auditbeat-7-3-auditd/205874/2 "2019-10-30T14:29:04Z")

</div>

Может, проще будет через [drop\_event](https://www.elastic.co/guide/en/beats/auditbeat/current/drop-event.html) это сделать?

---

<div class="post-metadata">

**Author:** ![Igor\_Belyakov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_belyakov/32/52615_2.png) [@Igor\_Belyakov](https://discuss.elastic.co/u/Igor_Belyakov)\
**Post date:** [October 30, 2019, 3:31pm UTC](https://discuss.elastic.co/t/auditbeat-7-3-auditd/205874/3 "2019-10-30T15:31:32Z")

</div>

Игорь, спасибо за идею.  
Добавил процессор, но получил ошибку:

 ![image](https://us1.discourse-cdn.com/elastic/original/3X/d/8/d85283b7bdd2d818925c8d1f4b921f63c2e75cd7.png)

Но и тут я получил ошибку:  
"Exiting: error initializing processors: each processor must have exactly one action, but found 2 actions (drop\_event,when)"

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [October 30, 2019, 3:34pm UTC](https://discuss.elastic.co/t/auditbeat-7-3-auditd/205874/4 "2019-10-30T15:34:28Z")

</div>

А если пробелы перед `when` добавить?

---

<div class="post-metadata">

**Author:** ![Igor\_Belyakov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_belyakov/32/52615_2.png) [@Igor\_Belyakov](https://discuss.elastic.co/u/Igor_Belyakov)\
**Post date:** [October 30, 2019, 3:54pm UTC](https://discuss.elastic.co/t/auditbeat-7-3-auditd/205874/5 "2019-10-30T15:54:16Z")

</div>

Добавил еще два пробела и заработало.  
Но всеравно, интересно, почему модуль auditd не поддерживает "-F exe" и "-F path" ?)

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [November 27, 2019, 4:07pm UTC](https://discuss.elastic.co/t/auditbeat-7-3-auditd/205874/6 "2019-11-27T16:07:49Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.