скорее да чем нет

/report

Report command works on replied messages only.

0.19?

Проблема с библиотекой распознавания Tessearact
Кто может настроить?

Народ, привет.
Посоветуйте статьи по организации иммутабельного хранилища аудит-логов Linux'а.
Задача - не допустить сокрытия событий доступа к системе в случае её компроментации
Заранее спасибо)

Статей как таковых панацейных нет, чтобы логировать вообще все то хватит базовых siem-наборов (wazuh+shoopy) с хранением логов на удаленном хранилище. Опять же, 'события доступа' и "компрометация" - это очень размытые термины, делайте себе ТЗ чтобы было понимание что такое события доступа и компрометация и потом уж на основании этого подбирайте себе инструменты. Можно заколхозить по сислогу auth.log, а можно вкрячить туда суперсиемыне вещи с с полным аудитом всех вызовов и анализом процессов.

rsyslog + auditd + отправка на удаленный сервер к которому будет ограниченый доступ.

Спасибо за ответ)
"Событие доступа" по большей части - логин в систему или взаимодействие с ФС. "Компроментация" - повышение прав пользователя, при котором возникает возможность логи поправить.
Для сбора планирую использовать auditd с отправкой на удаленный сервер.
Проблема в предотвращении перезаписи логов на удаленном сервере, так как он также может быть скомпрометирован

Короче, необходимо иметь возможность расследовать инцидент и предотвратить его сокрытие со стороны "взломщика"

Бекапьте логи тогда в air gaps или сделайте так чтобы их нельзя было вайпнуть (chattr,file ACLS и тд)

Чтобы такого небыло его нужно ограничить максимально,  вход по ssh только по ключам, без рутового доступа, только юзверям в определенной группе, только с определенных IP

chattr только после копии иначе в origin хер что запишется ))

В любом случае это SIEM у Вас получается на выходе, а потом это обрастёт IPSами и IDSками, потом контурами, перимитрами vlan per user и пойдёт жара

Ну если уж совсем упороться то конечно всяких SNORT+ SUrricata, + selinux или apparmor добавить

Я и с чатром вайпну, если мне надо будет хехе (от серьёзного хаксора аудитд не спасет)

Да понятно, что сможешь.

это старьё я бы не стал, есть куда более простые и производительные вещи.

можете накидать примеров, если не сложно?