Злоумышленники могут отключить или перенастроить систему аудита Linux в попытках скрыть вредоносную активность и избежать обнаружения. Администраторы Linux-систем используют систему аудита, чтобы отслеживать важную для безопасности информацию. Система аудита Linux работает на уровне ядра и ведет журналы событий активности приложений и системы, включая события процессов, сети, файлов и входа в систему, руководствуясь предварительно заданными правилами.

Часто эту систему называют auditd по имени демона, отвечающего за запись событий на диск и управляемого параметрами, заданными в файле конфигурации audit.conf. Два основных способа настройки правил журналирования — это утилита командной строки auditctl и файл /etc/audit/audit.rules, содержащий последовательность команд auditctl, которые загружаются во время запуска системы.

С правами root злоумышленники могут предотвратить журналирование своих действий, отключив службу системы аудита, изменив файлы конфигурации/правил или перехватив функции библиотеки системы аудита. С помощью командной строки злоумышленники могут отключить службу системы аудита, завершив процессы, связанные с демоном auditd, или остановив службу аудита через systemctl. Злоумышленники также могут перехватить функции системы аудита, отключив ведение журнала, или изменить правила в файле /etc/audit/audit.rules или audit.conf так, чтобы вредоносная активность игнорировалась.