Barrapunto

Yo necesitaría algo así para Windows y la verdad es que no he encontrado nada aún. En tiempo real. No he buscado demasiado tampoco, la verdad.

Gracias por compartir el script.

Lo he estado probando y algo debo estar haciendo mal porque no me funciona.

Una vez comprobado que auditd está arrancado y que al el script que pegaste le falta lectura del socket dentro de la condición while, no me funciona.

He probado a modificar ficheros dentro de un directorio controlado por audit ( con auditctl ) pero el socket no parece leer nada.
De hecho, lo que he hecho es

auditctl -w /directorio -p wa

sin clave por la que filtrar.

¿ se te ocurre que puede ser ? ¿ conoces alguna clase de logs de audit ?

Gracias y un saludo