НАЗВАНИЕ

ausearch_add_item - создать правило поиска

СИНТАКСИС

#include <auparse.h>

int ausearch_add_item(auparse_state_t *au, const char *field, const char *op, const char *value, ausearch_rule_t how);

ОПИСАНИЕ

ausearch_add_item добавляет одно правило поиска к системе аудита. Состояния поиска могут быть в дальнейшем использованы при сканировании протоколов, файлов или буферов для поиска интересующей информации. Значением аргумента field является имя поля по которому осуществляется поиск. Переменная op описывает, какой тип поиска следует производить. Возможные значения op:

exists: проверка, существует ли поле с указанным именем
=: проверка на равенство значения поля.
!=: проверка на неравенство значения поля.

Значение аргумента how опеределяет как будут сохранено правило поиска. Возможные значения:

AUSEARCH_RULE_CLEAR: Удалить предудущие правила и поставить это правило первым.
AUSEARCH_RULE_OR: Объединить с существующими правилами битовым оператором ИЛИ.
AUSEARCH_RULE_AND: Объединить с существующими правилами битовым оператором И.

Все правила должны быть одного типа, нельзя смешивать AUSEARCH_RULE_OR и AUSEARCH_RULE_AND.

ВОЗВРАЩАЕМОЕ ЗНАЧЕНИЕ

Возвращает -1 при ошибке, в остальных случаях 0.

СМ. ТАКЖЕ

ausearch_add_regex(3), ausearch_set_stop(3), ausearch_clear(3), ausearch_next_event(3).

АВТОР

Стив Граб (Steve Grubb)

ПЕРЕВОД

Перевод с английского Vsevolod Khalizev <vkhalizev@gmail.com> 2007