audit 审计框架入门：记录关键文件的变动

发布时间:2026-07-11 17:59

## 适用场景 /etc/passwd 被谁改过，关键配置为什么变了，审计要求提供操作证据，这些需求由内核的 audit 框架承接。它可以精确记录哪个进程哪个用户在什么时间触碰了哪些文件与系统调用，是安全追溯与等保类要求的基础设施。顺云云服务器承载多管理员协作时，审计规则值得尽早铺开。 ## 步骤清单 安装并启动 auditd 后，用 auditctl 添加规则。常用形态有三种：监控文件路径、监控系统调用、按字段组合过滤。监控关键文件用 w 参数加路径，p 指定关注写与属性变更，k 给规则打标签方便检索。 ``` auditctl -w /etc/passwd -p wa -k identity auditctl -w /etc/sudoers -p wa -k identity auditctl -w /etc/ssh/sshd_config -p wa -k sshcfg ``` 规则验证有效后写入 /etc/audit/rules.d/ 下的文件并执行增强重载，使其开机自动生效。 ## 验证方法 改动一次被监控文件，用 ausearch 按标签检索，输出会包含时间、触发进程、执行用户、父进程等完整字段。aureport 汇总类的日报视角，可统计周期内全部审计事件，适合巡检例行输出。 ``` ausearch -k identity -i --format default ``` ## 注意事项 规则不是越多越好，监控高频路径会产生巨量日志，把磁盘与性能拖垮，聚焦身份文件、服务配置、凭据目录即可。日志本身要防篡改，落盘后同步到日志服务器，本机的审计记录对有权限的人是可清理的。顺云环境里把它与集中日志、监控告警串起来，审计才真正有了牙齿。 规则集的维护方式建议文件化：自定义规则放在规则目录的专属文件里，按用途分文件，例如身份、访问、授权三个文件，重载时整体生效。直接用命令加的规则重启即失，文件化后规则与文档同步演进。审计规则同样要版本管理，变更留痕，这在等保类检查里是明确的加分项。 性能验证有一个简单办法：加规则前后各跑一轮业务基准，正常规则集的开销应当控制在可忽略的范围。若某条规则引起明显开销，通常是监控了高频路径，把规则收窄到具体调用或按字段过滤，开销立刻回落。审计日志的量级每天看一眼，突然翻倍要么是业务变化，要么是有人在批量试探，两种都值得追。