Kauditd

Kauditd - Beschreibung

kauditd_printk_skb

Beispiel

dmesg-Ausgabe

kernel: kauditd_printk_skb: 5 callbacks suppressed

Was ist "kauditd_printk_skb"?

• Was tut es im Wesentlichen?
• Wie kann ich die unterdrückten Rückrufe aufzählen?
• Und vielleicht die Gründe, die dazugehören?

Log-Events drosseln

Linux verwendet diesen Mechanismus, um das Spammen von Log-Events zu drosseln und so die Wahrscheinlichkeit eines Denial-of-Service-Angriffs zu verringern

Einstellungen

Sie können diese Funktion einstellen, indem Sie die beiden Einstellungen net.core.message_burst und net.core.message_cost ändern

Diese Parameter werden verwendet, um die Warnmeldungen zu begrenzen, die vom Netzwerkcode in das Kernelprotokoll geschrieben werden

• Sie erzwingen ein Ratenlimit, um einen Denial-of-Service-Angriff unmöglich zu machen
• Ein höherer message_cost-Faktor führt dazu, dass weniger Nachrichten geschrieben werden
• Message_burst steuert, wann Nachrichten gelöscht werden
• Die Standardeinstellungen begrenzen die Anzahl der Warnmeldungen auf eine alle fünf Sekunden

Werte anzeigen

sudo sysctl -a | grep net.core.message_
net.core.message_burst = 10
net.core.message_cost = 5

Werte ändern

sysctl -w net.core.message_cost=0

Achtung

Die Deaktivierung dieses Mechanismus in Produktionsumgebungen ist nicht empfohlen!

Weitere Informationen

• https://www.kernel.org/doc/Documentation/sysctl/net.txt

Hinweise

Sind Sie sicher, dass die Kaudit-Meldungen aus dem Netzwerkcode stammen (und net.core.message_cost verwenden) und nicht allgemein kernel.printk_ratelimit_burst?

Ich habe die spammigen Logmeldungen reduziert, indem ich kernel.printk_ratelimit und kernel.printk_ratelimit_burst auf höhere Werte erhöht habe

• Das Ändern von net.core.message_cost hat das Problem nicht gelöst

Aufruf

Optionen

Unix	GNU	Parameter	Beschreibung

Exit-Status

Wert	Beschreibung
0	Erfolg
>0	Fehler

Konfiguration

Dateien

Datei	Beschreibung

Anhang

Siehe auch

---

• Kauditd/kauditd printk skb

Dokumentation

Man-Page

Info-Pages