Configurei o auditd para enviar os logs para o SIEM através do rsyslog. Mas quando recebo esses logs, o proctitle está em hexadecimal.
Ex.:
<134>Aug 25 17:08:44 vmauditd tag_audit_log: node=vmauditd type=PROCTITLE msg=audit(1692983317.146:7444): proctitle=6E63002D6C766E700032323232
Eu gostaria que fosse assim:
<134>Aug 25 17:08:44 vmauditd tag_audit_log: node=vmauditd type=PROCTITLE msg=audit(1692983317.146:7444): proctitle=nc -lvnp 2222
Como configuro a auditoria para que isso seja possível?
Eu li aqui: https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/security_guide/sec-understanding_audit_log_filesque ..."O campo é codificado em notação hexadecimal para não permitir que o usuário influencie o analisador do log de auditoria."
Já vi em alguns lugares algumas pessoas colocando o proctitle em ascii, mas não tenho 100% de certeza se foi uma saída de ausearch -i.