{
 "historical": false,
 "mime": "text/plain",
 "corrections": {
   "time_zone": 0,
   "time_delta": 0
 },
 "tag": "syslog",
 "site_id": "00000000-0000-0000-0000-000000000000",
 "input_id": "5b3ede1b-e5e8-470f-8fd7-abe170d03614",
 "agent_id": "ffe4f7e4-838b-4daa-8a87-43eb90e0408e",
 "recv_time": "/Date(1542177311000)/",
 "uuid": "00000005-bebc-021f-f000-0766e14d1d10",
 "type": "raw",
 "body": "<14> Nov 14 11:36:16 10.10.253.25 audispd:  node=TST_logclient type=PATH msg=audit(1542177376.427:1631): item=1 name=\"/lib64/ld-linux-x86-64.so.2\" inode=43339 dev=fd:00 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:ld_so_t:s0 objtype=NORMAL cap_fp=0000000000000000 cap_fi=0000000000000000 cap_fe=0 cap_fver=0",
 "recv_ipv4": "10.10.253.23",
 "task_id": "3f8e82c9-1240-49c9-890e-86b9c02defb2",
 "job_id": "101d4de1-1dc0-0001-0000-000000000003",
 "tenant_id": "00000000-0000-0000-0000-000000000004",
 "normalized": true,
 "scope_id": "00000000-0000-0000-0000-000000000005"
}

Событие трэшовое (бесполезное и неинформативное). Необходимо либо изменить правила аудита, либо по умолчанию удалять в сиеме

Здравая мысль!

Спасибо за внутреннюю адрессацию)

это тестовый стенд) на здоровье. 😀

А какое правило нормализации?

Сам писал или нет?

нет, дефолт

Можем приватно обсудить?

Я переписывал граф нормализации под себя по некоторым источникам

Зачем удалять? Оставлять как информационное событие. Таких событий миллион, только когда что-то случиться можно будет разобраться что случилось по ним.

оно не корректное

есть 2 событие

Выполнена команда "python" на узле

Интерпретация не корректная

и оно дает понять что была выполнена команда

а событие "толи создали толи удалили толи выполнили" не дает понять ничего

Видимо что-то случилось - интерпретация

по факту выполнение одной команды генерирует события: Пользователь с UID 0 создал или удалил файл /usr/bin/python |  Выполнена команда "python" | Пользователь с UID 0 создал или удалил файл /lib64/ld-linux-x86-64.so.2

валидную информацию несет событие Выполнена команда "python", всё остальное треш