Linux服务器安全审计完全配置指南：从入门到精通

一、为什么需要安全审计？

安全审计是维护Linux服务器安全的核心环节。通过审计系统，您可以：

• 实时监控系统活动
• 追踪可疑行为
• 满足合规性要求
• 提供事故调查依据

二、基础审计工具配置

1. 系统日志(syslog)配置

编辑/etc/rsyslog.conf文件：

# 启用远程日志记录
*.* @192.168.1.100:514
# 重要日志单独存储
auth,authpriv.* /var/log/auth.log

2. auditd服务配置

Linux审计守护程序(auditd)是内核级的审计工具：

# 安装auditd
sudo apt-get install auditd  # Debian/Ubuntu
sudo yum install audit       # CentOS/RHEL

# 常用配置规则示例
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /bin -p x -k binaries

三、高级审计策略

1. 用户活动监控

配置/etc/audit/audit.rules：

# 监控用户登录
-a always,exit -F arch=b64 -S execve -k exec_cmd
# 监控文件修改
-a always,exit -F path=/etc -F perm=wa -k etc_changes

2. 网络活动审计

使用工具组合：

• tcpdump：网络包捕获
• ss/Netstat：连接监控
• IPTables日志：防火墙活动

四、日志管理与分析

1. 日志轮转配置

编辑/etc/logrotate.conf：

/var/log/audit/audit.log {
    weekly
    rotate 4
    compress
    missingok
    notifempty
}

2. 使用ELK堆栈分析日志

Elasticsearch+Logstash+Kibana组合提供强大的日志分析能力：

1. 安装Java环境
2. 配置Logstash管道
3. 设置Kibana可视化

五、安全审计最佳实践

• 定期审查审计策略和规则
• 实施最小权限原则
• 加密敏感审计数据
• 建立自动化告警机制
• 定期测试审计系统有效性