为什么需要系统审计？

在云计算时代，系统审计不再是可有可无的选项。根据2023年全球云安全报告显示，85%的企业数据泄露事件都源于缺乏有效的系统审计机制。Linux系统审计(auditd)能够记录系统发生的每一个重要事件，包括：

• 用户登录/注销记录
• 文件访问修改记录
• 系统调用跟踪
• 权限变更历史
• 网络连接活动

基础配置四步走

第一步：安装auditd服务

# Ubuntu/Debian
sudo apt install auditd -y

# CentOS/RHEL
sudo yum install audit audit-libs -y

第二步：启动并设置开机自启

sudo systemctl start auditd
sudo systemctl enable auditd

第三步：基本规则配置

编辑/etc/audit/audit.rules文件，添加以下基本规则：

# 监控用户登录
-a always,exit -F arch=b64 -S execve -k user-exec

# 监控/etc/passwd文件变更
-w /etc/passwd -p wa -k passwd-change

# 监控sudo使用
-w /usr/bin/sudo -p x -k sudo-cmd

第四步：规则生效与验证

sudo service auditd restart
sudo auditctl -l

高级审计策略配置

1. 关键目录深度监控

# 监控/etc目录下所有文件
-w /etc/ -p wa -k etc-change

# 监控/root目录访问
-w /root/ -p rwa -k root-access

2. 特权命令审计

# 监控所有su切换用户操作
-a always,exit -F path=/bin/su -F perm=x -F auid>=1000 -F auid!=4294967295 -k privileged-su

3. 网络连接审计

# 监控所有出站连接
-a always,exit -F arch=b64 -S connect -k network-connect

# 监控所有监听端口
-a always,exit -F arch=b64 -S bind -k network-bind

日志管理与分析技巧

1. 日志轮转配置

编辑/etc/audit/auditd.conf文件：

max_log_file = 50   # 单个日志文件最大MB数
num_logs = 5       # 保留的日志文件数量
max_log_file_action = ROTATE

2. 关键日志搜索命令

# 搜索所有失败的登录尝试
ausearch -k user-login -i | grep failed

# 搜索特定用户的活动
ausearch -ua username -i

# 搜索特定时间段的活动
ausearch -ts "10/15/2023 00:00:00" -te "10/15/2023 23:59:59"

云环境特别注意事项

• 将审计日志同步到云端日志服务（如AWS CloudTrail、阿里云ActionTrail）
• 配置日志自动归档到对象存储（如S3、OSS）
• 设置日志异地备份策略
• 考虑使用专业的SIEM系统进行集中分析