Linux auditd命令配置与使用方法

auditd是Linux审计核心工具，通过配置/etc/audit/auditd.conf设置日志路径、大小及磁盘预警，使用-w监控文件访问、-a定义系统调用和用户行为规则，结合-k标记事件，规则持久化至/etc/audit/rules.d/audit.rules，通过ausearch查询、aureport生成报告，需启用服务并合理管理日志量以保障安全合规。

Linux 的 auditd 是一个强大的审计工具，用于监控系统调用、文件访问、用户行为等安全相关事件。它通过内核中的 audit 子系统记录详细的日志信息，帮助管理员发现异常操作或满足合规要求。

auditd 基本配置

auditd 的主配置文件位于 /etc/audit/auditd.conf，用于设置日志存储路径、日志轮转策略和磁盘空间管理。

修改配置后需重启服务生效：

systemctl restart auditd

定义审计规则

审计规则决定哪些事件需要被记录，规则可通过命令行临时添加，也可写入配置文件持久化。

规则文件通常位于 /etc/audit/rules.d/audit.rules，加载时由 auditd 读取。

琅琅配音

全能AI配音神器

89

查看详情

• 监控特定文件或目录的访问：
  -w /etc/passwd -p wa -k user_mod
  其中 -p wa 表示监控写入（write）和属性变更（attribute），-k 指定关键字便于检索

• 监控系统调用：
  -a always,exit -F arch=b64 -S execve -k command_execution
  记录所有 64 位环境下执行 execve 系统调用的命令，常用于追踪可疑程序启动

• 监控用户活动：
  -a always,exit -F uid=1000 -F perm=r -k user_read
  跟踪 UID 为 1000 的用户对文件的读取操作

• 规则语法说明：
  -a 定义触发条件（always,exit 表示在退出系统调用时始终记录）
  -F 添加过滤字段（如 arch、uid、gid、perm）
  -S 指定系统调用名称
  -k 为事件打标签，方便后期搜索

添加规则后建议使用 auditctl -l 查看当前生效规则。

查看与分析审计日志

日志默认写入 /var/log/audit/audit.log，应使用专用工具解析，避免直接查看原始内容。

• 使用 ausearch 检索日志：
  ausearch -k user_mod —— 查找标记为 user_mod 的事件
  ausearch -m USER -ts recent —— 查看最近的用户相关消息

• 使用 aureport 生成摘要报告：
  aureport --summary —— 显示各类事件汇总
  aureport -f -i —— 文件访问报告，-i 表示解析为可读形式
  aureport -u -i —— 用户活动报告

常见事件类型包括 SYSCALL、CONFIG_CHANGE（规则变更）、USER_CMD（用户输入命令）等。

持久化规则与服务管理

临时规则在重启后会丢失，需保存到规则文件中。

将规则写入 /etc/audit/rules.d/audit.rules，格式与 auditctl 命令参数一致，每行一条规则。

确保服务开机自启：

systemctl enable auditd

常用服务命令：

基本上就这些。合理配置 auditd 能显著提升系统的可观测性和安全性，但要注意日志量可能较大，建议结合日志归档和定期审查机制使用。

以上就是Linux auditd命令配置与使用方法的详细内容，更多请关注php中文网其它相关文章！