iptables change auditing

[alexkuklin]

Я правильно понимаю, что по syscall изменения правил ipt не ловятся и надо делать либу-перехватчик для подпихивания через LD_PRELOAD?

Comments

[kiryl]

Что значит не ловится? Смотри операции на RAW-сокете(getsockopt()/setsockopt()/etc.).

[alexkuklin]

Я смотрел что дает strace на этой операции - как-то оно не внушает оптимизма.
Непонятно, как интерпретировать полученные результаты, раз, и непонятно пока, как избежать срабатываний аудита на другие операции с raw socket.

[kiryl]

Наверно, правильным вариантом было бы научить strace разбирать эти операции на RAW-сокете.

З.Ы. в iptables я понимаю чуть меньше чем ничего.

[sa_chernomor]

у iptables бинарный протокол общения с ядром, насколько я помню. т.е. если нужно понимать, что именно они друг другу говорят - нужно уметь его парсить.
use the source, luke! ;)