auditd是Linux审计核心工具，通过配置/etc/audit/auditd.conf设置日志路径、大小及磁盘预警，使用-w监控文件访问、-a定义系统调用和用户行为规则，结合-k标记事件，规则持久化至/etc/audit/rules.d/audit.rules，通过ausearch查询、aureport生成报告，需启用服务并合理管理日志量以保障安全合规。
Linux 的 auditd 是一个强大的审计工具，用于监控系统调用、文件访问、用户行为等安全相关事件。它通过内核中的 audit 子系统记录详细的日志信息，帮助管理员发现异常操作或满足合规要求。
auditd 基本配置
auditd 的主配置文件位于 /etc/audit/auditd.conf，用于设置日志存储路径、日志轮转策略和磁盘空间管理。
– log_file：指定日志输出路径，默认为 /var/log/audit/audit.log – max_log_file：单个日志文件最大大小（单位 MB） – max_log_file_action：达到上限后的行为，如 rotate、syslog 或 ignore – space_left 和 space_left_action：磁盘剩余空间不足时的响应动作，可设为 email、exec 或 suspend – admin_space_left：管理员预留空间，防止日志写满导致系统问题
修改配置后需重启服务生效：
systemctl restart auditd
定义审计规则
审计规则决定哪些事件需要被记录，规则可通过命令行临时添加，也可写入配置文件持久化。
规则文件通常位于 /etc/audit/rules.d/audit.rules，加载时由 auditd 读取。
监控特定文件或目录的访问：
-w /etc/passwd -p wa -k user_mod
其中 -p wa 表示监控写入（write）和属性变更（attribute），-k 指定关键字便于检索
监控系统调用：
-a always,exit -F arch=b64 -S execve -k command_execution
记录所有 64 位环境下执行 execve 系统调用的命令，常用于追踪可疑程序启动
监控用户活动：
-a always,exit -F uid=1000 -F perm=r -k user_read
跟踪 UID 为 1000 的用户对文件的读取操作
规则语法说明：
-a 定义触发条件（always,exit 表示在退出系统调用时始终记录）
-F 添加过滤字段（如 arch、uid、gid、perm）
-S 指定系统调用名称
-k 为事件打标签，方便后期搜索
添加规则后建议使用 auditctl -l 查看当前生效规则。
查看与分析审计日志
日志默认写入 /var/log/audit/audit.log，应使用专用工具解析，避免直接查看原始内容。
使用 ausearch 检索日志：
ausearch -k user_mod —— 查找标记为 user_mod 的事件
ausearch -m USER -ts recent —— 查看最近的用户相关消息
使用 aureport 生成摘要报告：
aureport –summary —— 显示各类事件汇总
aureport -f -i —— 文件访问报告，-i 表示解析为可读形式
aureport -u -i —— 用户活动报告
常见事件类型包括 SYSCALL、CONFIG_CHANGE（规则变更）、USER_CMD（用户输入命令）等。
持久化规则与服务管理
临时规则在重启后会丢失，需保存到规则文件中。
将规则写入 /etc/audit/rules.d/audit.rules，格式与 auditctl 命令参数一致，每行一条规则。
确保服务开机自启：
systemctl enable auditd
常用服务命令：
– systemctl status auditd —— 查看服务状态 – auditctl -D —— 删除所有当前规则（慎用） – auditctl -R /etc/audit/rules.d/audit.rules —— 从文件加载规则
基本上就这些。合理配置 auditd 能显著提升系统的可观测性和安全性，但要注意日志量可能较大，建议结合日志归档和定期审查机制使用。
以上就是Linux auditd命令配置与使用方法的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/4645.html
微信扫一扫 
支付宝扫一扫 
