<div dir="ltr">That is a good question, maybe I've been lucky in the devices that I have been testing with.  Most of them seem to be ascii, my assumption was that shouldn't be a problem.  The same encoding   function used by the path audit_log_d_path, definitely audits UTF8 named files:<div><br></div><div># ausearch -i -f /tmp/test/권성주.txt </div><div><br></div><div>type=PATH msg=audit(04/04/16 21:05:00.521:1638) : item=0 name=/tmp/권성주.txt inode=627534 dev=fd:00 mode=file,664 ouid=wmealing ogid=wmealing rdev=00:00 obj=unconfined_u:object_r:user_tmp_t:s0 objtype=NORMAL </div><div><br></div><div># ausearch -f  /tmp/test/권성주.txt </div><div>







<p class=""><span class="">type=PATH msg=audit(1459818300.521:1638): item=0 name=2F746D702FEAB68CEC84B1ECA3BC2E747874 inode=627534 dev=fd:00 mode=0100664 ouid=1000 ogid=1000 rdev=00:00 obj=unconfined_u:object_r:user_tmp_t:s0 objtype=NORMAL</span></p></div><div>Thanks,</div><div><br></div><div>Wade Mealing.</div>







</div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Apr 5, 2016 at 7:54 AM, Greg KH <span dir="ltr"><<a href="mailto:greg@kroah.com" target="_blank">greg@kroah.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="HOEnZb"><div class="h5">On Mon, Apr 04, 2016 at 05:37:01PM -0400, Steve Grubb wrote:<br>
> On Monday, April 04, 2016 12:02:42 AM wmealing wrote:<br>
> > I'm looking to create an audit trail for when devices are added or removed<br>
> > from the system.<br>
> ><br>
> > The audit subsystem is a logging subsystem in kernel space that can be<br>
> > used to create advanced filters on generated events.  It has partnered<br>
> > userspace utilities ausearch, auditd, aureport, auditctl which work<br>
> > exclusively on audit records.<br>
> ><br>
> > These tools are able to set filters to "trigger" on specific in-kernel<br>
> > events specified by privileged users.  While the userspace tools can create<br>
> > audit events these are not able to be handled intelligently<br>
> > (decoded,filtered or ignored) as kernel generated audit events are.<br>
> ><br>
> > I have this working at the moment with the USB subsystem (as an example).<br>
> > Its been suggested that I use systemd-udev however this means that the audit<br>
> > tools (ausearch) will not be able to index these records.<br>
> ><br>
> > Here is an example of picking out the AUDIT_DEVICE record type for example.<br>
> ><br>
> > > # ausearch -l -i -ts today -m AUDIT_DEVICE<br>
> > > ----<br>
> > > type=AUDIT_DEVICE msg=audit(31/03/16 16:37:15.642:2) : action=add<br>
> > > manufacturer=Linux 4.4.0-ktest ehci_hcd product=EHCI Host Controller<br>
> > > serial=0000:00:06.7 major=189 minor=0 bus="usb"<br>
><br>
> About this event's format...we can't have any spaces in the value side of the<br>
> name=value fields unless its encoded as an untrusted string. You can replace<br>
> spaces with an underscore or dash for readability. So, manufacturer and<br>
> product would need this treatment.<br>
<br>
</div></div>What is the character encoding that audit messages can accept?  Does it<br>
match up with the character encoding that USB strings are in?<br>
<br>
thanks,<br>
<br>
greg k-h<br>
</blockquote></div><br></div>