一、auditd审计系统核心价值

auditd作为Linux内核级的审计框架，能完整记录：

• 用户登录/注销行为
• 文件读写操作
• 系统调用执行
• 权限变更记录
• 网络连接活动

特别适用于金融、政务等对安全要求严格的云环境。

二、auditd安装与基础配置

1. 安装步骤

# CentOS/RHEL
yum install audit audit-libs
systemctl enable --now auditd

# Ubuntu/Debian
apt install auditd
systemctl start auditd

2. 核心配置文件

/etc/audit/auditd.conf 主要参数：

max_log_file = 50     # 日志文件大小(MB)
num_logs = 5         # 保留日志数量
flush = INCREMENTAL  # 写入策略
max_log_file_action = ROTATE

三、高级审计规则配置

1. 文件监控规则示例

# 监控/etc/passwd文件修改
-a always,exit -F path=/etc/passwd -F perm=wa -k passwd_change

2. 用户命令审计

# 记录root用户执行的命令
-a exit,always -F arch=b64 -F euid=0 -S execve -k root_cmd

3. 网络连接审计

# 监控22端口连接
-a always,exit -F arch=b64 -S connect -F a2=16 -k ssh_connect

四、日志分析与可视化

1. 常用分析命令

# 查看最近10条记录
ausearch -m all -i | head -10

# 按关键词搜索
ausearch -k passwd_change

2. 与ELK集成方案

1. 安装Filebeat采集审计日志
2. 配置Logstash解析规则
3. Kibana创建安全仪表盘

五、性能优化建议

• 避免监控高频访问的目录
• 使用合理的关键词(k)分类
• 设置日志轮转策略
• 定期归档历史日志

通过压力测试表明，合理配置的auditd对系统性能影响可控制在3%以内。