一、安全审计的核心价值

安全审计不是简单的日志收集，而是包含三个关键维度：

• 行为追溯：记录所有关键操作的时间戳和操作者
• 异常检测：通过基线比对发现异常行为模式
• 合规证明：满足ISO27001、等保2.0等合规要求

二、基础审计配置四步走

1. 启用auditd守护进程

# 安装auditd
sudo apt install auditd -y  # Debian/Ubuntu
sudo yum install audit -y   # CentOS/RHEL

# 启动服务
sudo systemctl enable auditd
sudo systemctl start auditd

2. 关键规则配置（/etc/audit/rules.d/audit.rules）

# 监控用户登录
-a always,exit -F arch=b64 -S execve -k user-exec

# 监控敏感文件访问
-w /etc/passwd -p wa -k identity-file
-w /etc/shadow -p wa -k identity-file

# 监控特权命令
-w /usr/bin/sudo -p x -k privileged-cmd

3. 日志轮转配置（/etc/audit/auditd.conf）

max_log_file = 50   # 单个日志文件最大MB
num_logs = 5       # 保留日志数量
space_left = 100   # 剩余空间警报阈值(MB)

4. 实时告警配置

结合Zabbix或Prometheus实现：

# 示例Prometheus alert规则
- alert: RootActivity
  expr: increase(auditd_events{type="USER_ROOT_LOGIN"}[1m]) > 0
  for: 1m
  labels:
    severity: critical

三、企业级增强方案

1. 多维度关联分析

数据类型	分析工具	价值产出
登录日志	ELK Stack	异常登录时空分布
命令历史	Osquery	高危命令模式识别

2. 云原生审计方案

AWS/GCP/Azure云平台集成方案：

• AWS CloudTrail + GuardDuty
• Azure Sentinel + Log Analytics
• GCP Security Command Center