auditd#

配置文件#

auditd 的主配置文件位于：

1
/etc/audit/auditd.conf

用于控制 auditd 自身的行为，例如日志写入方式、日志轮转以及磁盘空间不足时的处理策略。

1
# Log writing behavior
2
flush = INCREMENTAL
3
freq = 20
4

5
# Log rotation
6
num_logs = 5
7
max_log_file = 6
8
max_log_file_action = ROTATE
9

10
# Dispatcher
11
disp_qos = lossy
12
dispatcher = /sbin/audispd
13
name_format = NONE
14

15
# Disk space threshold
16
space_left = 75
17

18
#The "_action" options determine how errors or disk space issues should be handled:
19
admin_space_left_action = SUSPEND
20
disk_full_action = SUSPEND
21
disk_error_action = SUSPEND

Note

max_log_file 的单位为 MB。

num_logs 仅在 max_log_file_action = ROTATE 时生效。

较新的 Linux 发行版（如 RHEL 9、Ubuntu 24.04）已将 audispd 的功能整合到 auditd 中，因此部分系统可能没有独立的 audispd 进程，但配置项仍可能保留用于兼容。

Audit Rules#

Audit Rule 可分为三种类型：

Control Rules —— 控制 Auditd 的行为。
File Watch Rules（File System Rules）—— 审计指定文件或目录。
System Call Rules —— 审计指定的 System Call。

现代 Linux 通常建议将自定义规则放在：

1
/etc/audit/rules.d/*.rules

然后执行：

1
augenrules --load

自动生成并加载：

1
/etc/audit/audit.rules

虽然仍然可以直接编辑 audit.rules，但官方更推荐使用 rules.d 的方式，便于维护和版本管理。

示例规则#

1
# ----------------------------
2
# Control Rules
3
# ----------------------------
4

5
# Delete all existing rules
6
-D
7

8
# Kernel backlog queue size
9
## Increase the buffers to survive stress events.
10
## Make this bigger for busy systems
11
-b 8192
12

13
## Set failure mode to panic
14
# 0 = silent
15
# 1 = printk
16
# 2 = panic
17
-f 2
18

19

20
# ----------------------------
21
# File Watch Rules
22
# ----------------------------
23

24
-w /etc/passwd  -p wa -k passwd_changes
25
-w /etc/group   -p wa -k group_changes
26
-w /etc/shadow  -p wa -k shadow_changes
27
-w /etc/sudoers -p wa -k sudoers_changes

其中：

Option	Description
`-w`	监控指定文件或目录
`-p`	权限类型（r、w、x、a）
`-k`	为规则添加 Key，方便使用 `ausearch -k` 搜索

权限说明：

Flag	Meaning
`r`	Read
`w`	Write
`x`	Execute
`a`	Attribute Change（如 chmod、chown、touch 等）

例如：

1
ausearch -k passwd_changes

补充阅读：什么是 auditd？#

在 Linux 中，几乎所有与安全相关的操作最终都会经过 Kernel（内核）。

例如：

用户登录或注销
执行 sudo
启动一个程序
修改 /etc/passwd
修改文件权限（chmod）
删除文件
创建新的进程

这些操作最终都会转换成一个或多个 System Call（系统调用），由 Linux Kernel 处理。为了满足安全审计（Security Auditing）和合规（Compliance）的需求，Linux Kernel 内置了一套 Linux Audit Framework，用于记录这些安全相关事件。而 auditd（Linux Audit Daemon），则是这套框架对应的用户空间（Userspace）守护进程。

它负责：

接收 Kernel 发送的 Audit Event
将事件写入 /var/log/audit/audit.log
管理日志轮转（Log Rotation）
将事件转发给其他插件或日志系统（如 rsyslog、SIEM）

整个流程可以理解为：

1
System Call / File Change
2
            │
3
            ▼
4
Linux Kernel (Audit Framework)
5
            │
6
      Generate Audit Event
7
            │
8
            ▼
9
         auditd
10
            │
11
            ▼
12
/var/log/audit/audit.log

整个过程中，可以简单理解为：

管理员加载 Audit Rules。
Linux Kernel 根据这些规则监控系统行为。
当发生匹配事件时，Kernel 生成一个 Audit Event。
auditd 接收该事件，并写入 /var/log/audit/audit.log。
管理员使用 ausearch、aureport 等工具查询或分析日志。
因此，各组件的职责分别是：

Component	Function
Linux Audit Framework	Kernel 内置的审计框架，负责根据规则产生 Audit Event。
auditd	接收 Audit Event，并保存到日志。
auditctl	动态管理 Kernel 中的 Audit Rules。
augenrules	将 `/etc/audit/rules.d/` 中的规则合并并加载。
ausearch	根据条件搜索 Audit Log。
aureport	根据 Audit Log 生成统计报告。

理解这一点之后，很多现象就变得容易解释了。例如：

为什么 auditctl 修改规则后立即生效？
- 因为它直接修改的是 Kernel 中的 Audit Rules，而不是修改配置文件。
为什么重启之后规则消失？
- 因为 auditctl 修改的是运行时规则，重启后需要重新从配置文件加载。
为什么 auditd 停止以后，系统依然可能继续产生 Audit Event？
- 因为真正负责审计的是 Linux Kernel，只是没有用户空间进程继续接收并写入日志。