auditd

Linux 审计服务配置

补充说明

auditd 记录系统调用、文件访问、用户登录和安全事件，是主机审计和合规的基础。规则可通过 auditctl 临时加载，或写入 /etc/audit/rules.d/ 持久化。

常用示例

systemctl status auditd
auditctl -l
auditctl -w /etc/passwd -p wa -k passwd_changes
auditctl -a always,exit -F arch=b64 -S execve -k exec
auditctl -D
augenrules --load
service auditd restart
aureport --summary

持久化规则：

# /etc/audit/rules.d/app.rules
-w /etc/passwd -p wa -k passwd_changes
-w /etc/sudoers -p wa -k sudoers_changes
-a always,exit -F arch=b64 -S execve -k exec

易错点与排错

• 规则顺序和匹配范围影响结果；先用 auditctl -l 看实际加载。
• -w 文件监视和 -a 系统调用规则语法不同，不要混用。
• -D 会清空所有规则；生产环境先保存。
• 规则写入文件后要 augenrules --load 或重启 auditd 才生效。
• 审计日志会增长很快；配置轮转和容量监控。
• 开启大量 syscall 规则会增加开销，按需选择。
• 不可变模式（-e 2）下不能修改规则，需要重启。
• auditd 服务和内核审计要一起确认；容器内通常没有权限。

相关命令

• ausearch / aureport — 查询与汇总
• auditctl — 规则管理
• journalctl — 系统日志