Thanks, Marcello, for your reply.Ye

Thanks, Marcello, for your reply.

Yes, I discovered yesterday that store-and-forward ("mode=forward" in
audisp-remote.conf) was implemented in version 2.1, in March 2011.
Unfortunately, it is taking a while to be in Debian and Ubuntu.

The older versions allow you to specify the queue length, but that would
appear to have no effect. It just seemed to be in the format of the
config file in anticipation of store-and-forward being available.

It is audispd that is complaining. Funny that it says "audispd: queue is
full - dropping event" when it is not using a queue.

Anyway, I am left with several possibilities:

1. Upgrade to a recent version (which?), even though the distribution
does not support it.

2. Up the priority-boost in auditd.conf and/or audispd.conf.

3. Write the log locally and then have something monitor the file. What?

4. Can auditd use rsyslog?

結果 (日本語) 1:

、マルチェロ、お返事ありがとう。はい、私は昨日そのストア アンド フォワードを発見 (「モード = フォワード"でaudisp-remote.conf） は 2011 年 3 月、バージョン 2.1 で実装されました。残念ながら、それは Debian と Ubuntu を取っています。古いバージョンでは、キューの長さを指定することができますが、それは効果がないように見えます。形式であるだけだ、ストア アンド フォワードの利用されるを見越して構成ファイル。不満は audispd です。それはおかしい"audispd: キューがフル - ドロップ イベント"キューが使用されていません。とにかく、私はいくつかの可能性が残っています。1. （これは？）、さらに最新のバージョンへのアップグレードも分布それをサポートしません。2. を auditd.conf または audispd.conf で優先順位。3. ローカルのログの書き込みと何かファイルを監視します。何ですか？4 auditd 使用 rsyslog することはできますか？

結果 (日本語) 2:

おかげで、マルチェロは、お返事を。はい、私は昨日発見し、そのストアアンドフォワード（「モード=フォワード」でaudisp-remote.conf）2011年3月、バージョン2.1で実装されました。残念ながら、それはしばらくのを取っているDebianとUbuntuの中でも。古いバージョンでは、キューの長さを指定することができますが、それはなり効果がないように見える。それはちょうどのフォーマットであるように見えたストア·アンド·フォワードが利用可能であることを予想して設定ファイル。これは文句を言っているaudispdです。おかしいそれが言うことを「audispd：キューですフル-イベントをドロップする"それはキューを使用していないときに。とにかく、私はいくつかの可能性が残されています：1。分布があっても、（？）、最新のバージョンにアップグレードし、それをサポートしていません。2。auditd.confおよび/ ​​またはaudispd.confにおける優先ブーストアップ。3。ローカルにログを書き込み、その後何かがファイルを監視できます。何？4。利用rsyslogのをauditdのことはできますか？

結果 (日本語) 3:

ありがとう、マルチェロ、あなたの返事をします。はい、私はあの店と前進の昨日を発見した（「モード＝順」audispリモート. confにバージョン2 . 1で実装されましたが、2011年3月にします。残念なことに、それはdebianとubuntuに間をとるです。以前のバージョンはキューの長さを指定するのを許します、しかし、それは回効果がないように見えます。それは、ちょうどのフォーマットであるように店で利用できることを期待しての設定ファイルです。それがaudispd不満です。それが「audispd言うおかしい：キューですフルドロップイベント」されていない場合は、キューを用いた。とにかく、私はいくつかの可能性を残します：1。最近のバージョンにアップグレードして（？）でも、分布がそれをサポートしていない。2。アップauditd.confおよび/またはaudispdに優先順位を後押しします。3。ログの書き込みを局所的にそして何かファイルを監視します。どうですか？第4回。auditd rsyslogを使用できますか？