一、auditd核心价值与工作原理

auditd是Linux内核集成的审计框架，通过监控系统调用和文件访问，提供：

• 完整的系统活动记录
• 用户操作行为追踪
• 安全事件调查依据
• 合规性审计支持

审计日志存储在/var/log/audit/目录，采用二进制格式保证数据完整性。

二、auditd安装与基础配置

1. 安装auditd服务

# CentOS/RHEL
sudo yum install audit audispd-plugins

# Ubuntu/Debian
sudo apt-get install auditd audispd-plugins

2. 核心配置文件解析

/etc/audit/auditd.conf关键参数：

参数	说明	推荐值
log_file	日志存储路径	/var/log/audit/audit.log
max_log_file	单个日志最大容量(MB)	50
num_logs	保留日志数量	5
flush	日志写入方式	incremental_async

三、高级规则配置实战

1. 文件监控规则示例

# 监控/etc/passwd文件访问
-w /etc/passwd -p wa -k passwd_access

# 监控SSH配置文件修改
-w /etc/ssh/sshd_config -p wa -k sshd_modify

2. 系统调用监控规则

# 监控用户删除操作
-a always,exit -F arch=b64 -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete

3. 用户登录监控

# 监控所有登录事件
-w /var/log/faillog -p wa -k logins
-w /var/log/lastlog -p wa -k logins
-w /var/run/utmp -p wa -k session

四、日志分析与告警配置

1. 常用分析命令

• ausearch -k delete 查询删除操作
• aureport -m 生成账户修改报告
• aureport -f 生成文件访问报告

2. 实时告警配置

配置/etc/audisp/plugins.d/下的插件：

# 启用syslog转发
active = yes
direction = out
path = builtin_syslog
type = builtin 
args = LOG_INFO
format = string

五、性能优化建议

1. 合理设置规则数量，避免过度审计
2. 对高频访问目录采用抽样审计
3. 定期归档和清理历史日志
4. 使用audispd将日志转发到中央日志服务器