<div dir="ltr"><div>While others might not care about RHEL 5 I can assure you there&#39;s a large enough user base that makes SSG content useless without it. <br><br></div>Not that I have an opinion or anything. <br><br>Leam<br>
</div><div class="gmail_extra"><br><br><div class="gmail_quote">On Thu, Apr 3, 2014 at 9:36 AM, Steve Grubb <span dir="ltr">&lt;<a href="mailto:sgrubb@redhat.com" target="_blank">sgrubb@redhat.com</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hello,<br>
<br>
The audit system can take rules that start with<br>
<br>
-a always,exit<br>
<br>
just as well as rules that start with<br>
<br>
-a exit,always<br>
<br>
This has been trouble for scanners because people see rules in both orders.<br>
But people complained about this and as of the 2.0.6 release of the audit<br>
package, all rules were in a consistent &#39;-a always,exit&#39; format. Someone<br>
reported a problem on the linux-audit mail list saying they were failing a<br>
scan. I check the SSG content and sure enough, its looking for rules in the<br>
exit,always order. You can check it like so:<br>
<br>
grep -rl  &#39;\-a exit\,always&#39;  *<br>
<br>
The rules should be fixed to match only always,exit so that everything<br>
everywhere is consistent. I would only be concerned about RHEL6/7 because<br>
there is no possibility of changing the RHEL5 audit package to ship rules that<br>
are consistent.<br>
<br>
Thanks,<br>
-Steve<br>
_______________________________________________<br>
scap-security-guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
</blockquote></div><br><br clear="all"><br>-- <br><div><a href="http://leamhall.blogspot.com/" target="_blank">Mind on a Mission</a></div>
</div>