Auditd Kullanarak Tüm Dizinler Nasıl İzlenir (Tüm Alt Dizinler Dahil)?

Ben auditd'de bir kural kullanıyorum:
-w /etc -p wa -k watch_etc
Ancak kullanarak raporu kontrol ettikten sonra ausearch -k watch_etc -ts today | aureport -f -i
Rehberde yaptığım değişiklikleri bulamıyorum /etc/auditd/rules.d/.
Ancak, altında bir dosya oluşturma /etc/ kullandığım raporda bir giriş oluşturacak touch Komut.

01/24/2019 09:11:03 Açık test evet / usr / bin / dokunma kök 7441

Farklı bir yöntem kullanan, ancak aynı sonuçlara sahip bir konu ile karşılaştım. Bir çözüm buldum:

-a exit,always  -F dir=/etc  -p wa -F key=watch_etc