一、安全审计基础概念

Linux审计系统（auditd）是内核级别的监控工具，能够记录系统发生的各种事件。与普通日志不同，审计日志具备以下特点：

• 无法被普通用户修改或删除
• 记录完整的上下文信息（用户ID、进程ID等）
• 支持细粒度的规则配置

二、审计系统安装与启动

# Ubuntu/Debian系统
sudo apt install auditd audispd-plugins

# CentOS/RHEL系统
sudo yum install audit audit-libs

启动并设置开机自启：

sudo systemctl start auditd
sudo systemctl enable auditd

三、核心配置文件解析

1. /etc/audit/auditd.conf 主配置文件

关键参数说明：

• log_file: 审计日志存储路径
• max_log_file: 单个日志文件最大大小(MB)
• num_logs: 保留的日志文件数量
• flush: 日志写入方式（推荐INCREMENTAL_ASYNC）

2. /etc/audit/rules.d/audit.rules 审计规则

规则语法示例：

-a always,exit -F arch=b64 -S open -F success=1 -k file_access
-w /etc/passwd -p wa -k passwd_changes

四、实战配置方案

1. 关键文件监控配置

# 监控系统关键文件
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/sudoers -p wa -k privilege

2. 用户登录审计

# 记录所有登录尝试
-a always,exit -F arch=b64 -S execve -F path=/bin/login -k login

3. 特权命令监控

# 监控sudo使用情况
-w /usr/bin/sudo -p x -k sudo_cmd
# 监控su命令
-w /bin/su -p x -k su_cmd

五、高级监控策略

1. 进程创建监控

-a always,exit -F arch=b64 -S clone -S fork -S execve -k process

2. 网络连接审计

-a always,exit -F arch=b64 -S connect -S bind -S accept -k network

3. 文件属性变更监控

-a always,exit -F arch=b64 -S chmod -S fchmod -S chown -k perm_mod

六、日志分析与监控

使用ausearch工具进行日志查询：

# 查询特定key的日志
ausearch -k file_access

# 查询特定时间的日志
ausearch -ts today

# 生成统计报告
aureport -x

推荐日志分析工具：

• Elastic Stack (ELK)
• OSSEC
• Splunk

七、性能优化建议

• 避免过度审计，只监控关键事件
• 合理设置日志轮转策略
• 使用审计规则排除已知安全进程
• 定期清理过期审计日志