<div dir="ltr"><div>I looked through my old notes and confirmed that I was getting yelled at by someone using a scanner that had hard-coded the entries so I adjusted accordingly.<br><br></div>Thanks!<br><br>Trevor<br></div>
<div class="gmail_extra"><br><br><div class="gmail_quote">On Thu, Jul 11, 2013 at 10:36 AM, Steve Grubb <span dir="ltr">&lt;<a href="mailto:sgrubb@redhat.com" target="_blank">sgrubb@redhat.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<div class="im">On Wednesday, July 10, 2013 11:39:39 PM Trevor Vaughan wrote:<br>
&gt; &quot;Either order is valid syntax&quot;<br>
&gt;<br>
&gt; I could have sworn that this blew up in my face at some point. Perhaps a<br>
&gt; different patch set fixed it.<br>
<br>
</div>Either order is valid syntax for auditctl. Its been this way since RHEL4. Its<br>
not valid if you are running a scanner with a hardcoded ordering.<br>
<span class="HOEnZb"><font color="#888888"><br>
-Steve<br>
</font></span><div class="im HOEnZb"><br>
<br>
&gt; On Sun, Mar 3, 2013 at 9:03 AM, Steve Grubb &lt;<a href="mailto:sgrubb@redhat.com">sgrubb@redhat.com</a>&gt; wrote:<br>
</div><div class="HOEnZb"><div class="h5">&gt; &gt; &gt; &gt; - RHEL5 wants audit rules to start with &quot;exit,always&quot;; RHEL6 wants<br>
&gt; &gt; &gt; &gt; them<br>
&gt; &gt; &gt; &gt; to start with &quot;always,exit&quot;.  Note that some of the actual RHEL6<br>
&gt; &gt; &gt; &gt; benchmark content checks for both (e.g. adjtimex), while some (the<br>
&gt; &gt; &gt; &gt; majority) does not (e.g. chmod).<br>
&gt; &gt; &gt; &gt;<br>
&gt; &gt; &gt; &gt; -&gt; This was a change in auditd itself. &quot;exit,always&quot; is no longer<br>
&gt; &gt; &gt; &gt; valid.<br>
&gt; &gt;<br>
&gt; &gt; Either order is valid syntax. However, people were asking for order out of<br>
&gt; &gt; chaos and I went through all audit rules and fixed them (in upstream<br>
&gt; &gt; audit) all<br>
&gt; &gt; to have one ordering. This was not because auditctl would reject the rule,<br>
&gt; &gt; its<br>
&gt; &gt; because configuration testers need one order so that rules can be<br>
&gt; &gt; verified.<br>
&gt; &gt;<br>
&gt; &gt; -Steve<br>
&gt; &gt; _______________________________________________<br>
&gt; &gt; scap-security-guide mailing list<br>
&gt; &gt; <a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
&gt; &gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
</div></div></blockquote></div><br><br clear="all"><br>-- <br>Trevor Vaughan<br>Vice President, Onyx Point, Inc<br>(410) 541-6699<br><a href="mailto:tvaughan@onyxpoint.com">tvaughan@onyxpoint.com</a><br><br>-- This account not approved for unencrypted proprietary information --
</div>