麒麟系统关闭auditd

• 背景与概述
  • 审计工具介绍：Linux的auditd工具可将审计记录写入日志文件，包括系统调用和文件访问记录，管理员可通过检查这些日志来确定是否存在安全漏洞。
  • 系统架构：Linux用户空间审计系统主要由Linux内核和一系列应用程序组成，如图1所示的架构示意图。内核中有User、Task、Exit、Exclude等系统调用，右侧是auditd、audispd、auditctl、autrace、ausearch和aureport等应用程序。
• 系统调用功能
  • User：负责记录用户空间中产生的事件，起到过滤消息的作用，在内核传递给审计后台进程之前进行查询。
  • Task：用于跟踪应用程序的子进程创建事件，当父进程通过fork和克隆创建子进程时进行记录。
  • Exit：在系统调用结束时判断是否记录该调用。
  • Exclude：用于删除不合格事件，对不想看到的消息进行过滤。
• 相关问题与解决
  • 内存泄漏问题
    • 现象：通过不断执行ssh远程连接产生用户登录的audit日志，发现执行内存使用情况监视命令时，内存使用情况会不断增加。
    • 原因：对比audit - 3.0 - 5和audit - 3.0 - 5.se.06版本，发现se.06版本添加的补丁中存在申请内存后未及时释放的问题。
    • 解决方法：升级audit包版本至audit - 3.0 - 5.se.08.ky10版本，完成升级后重启audit服务，可通过systemctl status auditd查看服务状态。
• 系统服务管理命令
  • 提供了systemctl disable auditd --now命令，用于禁用并停止auditd服务。

综上所述，这些信息详细介绍了Linux用户空间审计系统的架构、系统调用功能以及一个相关的内存泄漏问题及其解决方法，同时还提到了系统服务的管理命令。

systemctl disable auditd --now

https://zhuanlan.zhihu.com/p/646304712