Linux系统审计配置完全指南：从入门到精通

一、Linux审计系统概述

Linux Audit子系统是内核级的功能，它允许系统管理员：

• 跟踪安全相关事件
• 记录用户操作行为
• 监控文件访问
• 追踪系统调用

二、安装审计工具包

大多数Linux发行版默认已安装auditd服务，如需手动安装：

# Ubuntu/Debian
sudo apt install auditd audispd-plugins

# RHEL/CentOS
sudo yum install audit audit-libs

三、审计服务管理

基本服务控制命令：

# 启动服务
sudo systemctl start auditd

# 设置开机自启
sudo systemctl enable auditd

# 检查服务状态
sudo systemctl status auditd

# 重新加载配置
sudo service auditd reload

四、核心配置文件详解

主要配置文件位于/etc/audit/目录：

• auditd.conf - 守护进程配置
• audit.rules - 审计规则定义
• audit.log - 默认日志文件

4.1 auditd.conf关键配置项

# 日志文件位置
log_file = /var/log/audit/audit.log

# 日志轮转策略
max_log_file = 8
max_log_file_action = ROTATE

# 磁盘空间检查
space_left = 75
space_left_action = SYSLOG
admin_space_left = 50
admin_space_left_action = SUSPEND

五、审计规则配置实战

5.1 基础规则语法

# 监控文件访问
-w /etc/passwd -p wa -k password_file

# 监控目录
-w /etc/ssh/ -p rwa -k ssh_config

# 监控系统调用
-a always,exit -F arch=b64 -S open -k file_access

5.2 常用监控场景

1. 用户登录监控

# 监控用户认证
-w /var/log/lastlog -p wa -k logins
-w /var/run/faillock -p wa -k loginfailures

2. 特权命令监控

# 监控sudo使用
-w /usr/bin/sudo -p x -k privileged_command

# 监控su命令
-w /bin/su -p x -k privileged_command

3. 关键系统文件监控

# 监控passwd文件
-w /etc/passwd -p wa -k identity

# 监控shadow文件
-w /etc/shadow -p wa -k identity

# 监控sudoers文件
-w /etc/sudoers -p wa -k sudoers_change

六、审计日志分析与查询

6.1 基本查询命令

# 查看完整日志
sudo ausearch -i

# 按关键词搜索
sudo ausearch -k password_file

# 按时间范围搜索
sudo ausearch -ts today -te now

6.2 生成审计报告

# 生成日报
sudo aureport --daily

# 生成登录报告
sudo aureport -l

# 生成文件访问报告
sudo aureport -f

七、高级配置技巧

7.1 远程日志存储

配置audisp-remote插件将日志发送到远程服务器：

# 编辑/etc/audisp/audisp-remote.conf
remote_server = logserver.example.com
port = 60
transport = tcp

7.2 自定义日志格式

# 在auditd.conf中添加
log_format = ENRICHED
flush = INCREMENTAL_ASYNC

八、故障排除

• 服务无法启动：检查/var/log/messages中的错误信息
• 规则不生效：使用auditctl -l验证规则是否加载
• 日志文件过大：调整轮转策略和磁盘空间阈值

九、安全最佳实践

1. 定期审查和更新审计规则
2. 将审计日志发送到中央日志服务器
3. 为敏感操作设置专门的监控关键词
4. 定期生成审计报告并分析异常