<div dir="ltr"><div>All,<br><br>Currently the remediation text for RHEL-06-000198 reads as:<br><br>At a minimum the audit system should collect the execution of privileged
 commands for all users and root. To find the relevant setuid programs: <br><br>  # find / -xdev -type f -perm -4000 -o -perm -2000 2&gt;/dev/null<br><br>  Then,
 for each setuid program on the system, add a line of the following form
 to &quot;/etc/audit/audit.rules&quot;, where [SETUID_PROG_PATH] is the full path 
to each setuid program in the list: <br><br>  -a always,exit -F path=[SETUID_PROG_PATH] -F perm=x -F auid&gt;=500 -F auid!=4294967295 -k privileged<br><br></div>I would like to suggest that this be changed to <br><div><div>
<br></div><div>Add the following to audit.rules:<br>  -a always,exit -F arch=b64 -F euid=0 -F uid!=0 -S execve -k suid-root-exec<br>  -a always,exit -F arch=b64 -F egid=0 -F gid!=0 -S execve -k sgid-root-exec<br>  -a always,exit -F arch=b32 -F euid=0 -F uid!=0 -S execve -k suid-root-exec<br>
  -a always,exit -F arch=b32 -F egid=0 -F gid!=0 -S execve -k sgid-root-exec<br><br></div><div>From my testing, this appears to catch the execution of all suid/sgit binaries without digging all over the system to figure out what they are. As an added bonus, you get to find out about binaries that pop onto your system for a brief period.<br>
<br></div><div>Thanks,<br><br>Trevor<br></div><div>-- <br>Trevor Vaughan<br>Vice President, Onyx Point, Inc<br>(410) 541-6699<br><a href="mailto:tvaughan@onyxpoint.com">tvaughan@onyxpoint.com</a><br><br>-- This account not approved for unencrypted proprietary information --
</div></div></div>