Составьте конфиг auditd такой, чтобы: логировать изменение файлов в /etc, /home, /root, /var/spool/cron, /var/spool/at, /boot; логировать все syscall execve, execveat, кроме /lib/systemd/systemd-logind. Проверить конфиг, выполнив изменение каких-либо файлов в /etc (поправить какой-либо конфиг, например). Найти события, связанные с изменением конфига с помощью любой из утилит.

Для настройки auditd в соответствии с указанными требованиями необходимо отредактировать файл конфигурации /etc/audit/audit.rules. Ниже приведен пример конфигурации:

# Log changes in specified directories
-w /etc -p wa
-w /home -p wa
-w /root -p wa
-w /var/spool/cron -p wa
-w /var/spool/at -p wa
-w /boot -p wa

# Log all execve and execveat syscalls except for /lib/systemd/systemd-logind
-a never,exit -F arch=b64 -S execve,execveat -F path!=/lib/systemd/systemd-logind
-a never,exit -F arch=b32 -S execve,execveat -F path!=/lib/systemd/systemd-logind

После внесения изменений необходимо перезапустить службу auditd:

sudo systemctl restart auditd

Для проверки работы auditd можно внести изменения в какой-либо файл в директории /etc, например:

sudo echo "Test" >> /etc/testfile

Для поиска событий, связанных с изменением конфигурационных файлов, можно воспользоваться утилитой ausearch. Например, для поиска событий изменения файлов в директории /etc:

sudo ausearch -k config_change

Для более детальной информации о найденных событиях можно использовать ключ -i:

sudo ausearch -k config_change -i