40、扫描、审计与强化：Linux 系统安全审计指南

扫描、审计与强化：Linux 系统安全审计指南

1. 审计守护进程重启

在 RHEL/CentOS 7 和 8 系统中，由于某些未知原因， auditd 无法使用常规的 systemctl 命令来操作。因此，若要重启 auditd 守护进程，需使用传统的 service 命令：

sudo service auditd restart

而在 Ubuntu 系统中，则使用 systemctl 命令：

sudo systemctl restart auditd

2. 创建审计规则

首先，我们可以检查当前是否存在生效的审计规则：

[donnie@localhost ~]$ sudo auditctl -l
[sudo] password for donnie:
No rules
[donnie@localhost ~]$

这里， auditctl -l 命令用于列出所有规则，若输出 No rules ，则表示当前没有生效的规则。

3. 审计文件更改

若要监控 /etc/passwd 文件的更改情况，