Linux云服务器系统审计全流程配置指南

一、为什么需要系统审计？

系统审计就像服务器的"黑匣子"，它能完整记录：

• 用户登录/注销行为
• 特权命令执行记录
• 系统文件访问轨迹
• 账户变更历史
• 网络连接活动

据统计，完善的审计系统可减少约70%的内部安全威胁。

二、审计工具选型

三、auditd实战配置

1. 安装与启动

# Ubuntu/Debian
sudo apt install auditd -y

# CentOS/RHEL
sudo yum install audit -y

# 启动服务
sudo systemctl enable --now auditd

2. 核心配置文件

/etc/audit/auditd.conf 主要参数说明：

max_log_file = 8           # 日志文件大小(MB)
num_logs = 5               # 保留日志数量
flush = INCREMENTAL        # 写入策略

3. 规则配置实战

编辑/etc/audit/rules.d/audit.rules：

# 监控/etc/passwd文件变更
-w /etc/passwd -p wa -k passwd_changes

# 记录sudo提权操作
-a always,exit -F arch=b64 -S execve -F path=/usr/bin/sudo -k privileged_cmd

# 监控用户登录
-a always,exit -F arch=b64 -S connect -F a2=16 -k network_connect

四、高级配置技巧

1. 日志轮转优化

# 创建日志轮转配置
sudo vi /etc/logrotate.d/audit

/var/log/audit/*.log {
    weekly
    rotate 10
    compress
    delaycompress
    missingok
    notifempty
}

2. 远程日志存储

配置rsyslog实现日志远程备份：

# 在/etc/rsyslog.conf中添加
*.* @192.168.1.100:514

3. 实时告警设置

使用auditd的插件机制：

# 安装实时告警工具
sudo apt install audispd-plugins

# 配置邮件告警
sudo vi /etc/audisp/plugins.d/au-remote.conf
active = yes
direction = out
path = /sbin/audisp-remote
type = always
format = string

五、常见问题解决方案

1. 审计服务无法启动：检查/var/log/messages中的SElinux策略冲突
2. 日志文件过大：调整max_log_file参数并设置定期归档
3. 规则不生效：使用auditctl -l验证规则是否加载成功
4. 性能影响：避免监控过多目录，使用排除规则(-F exclude)

六、审计日志分析工具推荐

• aureport：内置的审计报告工具
• Lynis：安全合规检查工具
• Elastic Stack：日志分析平台
• Wazuh：开源SIEM解决方案