mediumauditverified ✓✓rollback-safe

Audit extended attribute changes (Ubuntu)

audit-syscall-perm-mod-setxattr · UBUNTU ≥ 22 · 1 impl

The system must generate an audit record for extended attribute changes so that the responsible user can be identified.

Auditing these system calls supports detection of unauthorized changes and forensic reconstruction of events.

Checkaudit_rule_exists

rule:: -a always,exit -F arch=b32 -S setxattr,fsetxattr,lsetxattr,removexattr,fremovexattr,lremovexattr -F auid>=1000 -F auid!=unset -k perm_mod -a always,exit -F arch=b32 -S setxattr,fsetxattr,lsetxattr,removexattr,fremovexattr,lremovexattr -F auid=0 -k perm_mod -a always,exit -F arch=b64 -S setxattr,fsetxattr,lsetxattr,removexattr,fremovexattr,lremovexattr -F auid>=1000 -F auid!=unset -k perm_mod -a always,exit -F arch=b64 -S setxattr,fsetxattr,lsetxattr,removexattr,fremovexattr,lremovexattr -F auid=0 -k perm_mod

Remediateaudit_rule_set

rule:: -a always,exit -F arch=b32 -S setxattr,fsetxattr,lsetxattr,removexattr,fremovexattr,lremovexattr -F auid>=1000 -F auid!=unset -k perm_mod -a always,exit -F arch=b32 -S setxattr,fsetxattr,lsetxattr,removexattr,fremovexattr,lremovexattr -F auid=0 -k perm_mod -a always,exit -F arch=b64 -S setxattr,fsetxattr,lsetxattr,removexattr,fremovexattr,lremovexattr -F auid>=1000 -F auid!=unset -k perm_mod -a always,exit -F arch=b64 -S setxattr,fsetxattr,lsetxattr,removexattr,fremovexattr,lremovexattr -F auid=0 -k perm_mod
persist_file:: /etc/audit/rules.d/50-syscall-perm-mod-setxattr.rules

STIG

V-270784 / UBTU-24-900130V-260638 / UBTU-22-654180

NIST 800-53

AU-2AU-12

ubuntu22:checkubuntu24:checkubuntu24:remediate

#audit#auditd#syscall