Linux安全审计功能的实现--audit详解

实现监管企业员工的操作行为就需要开启审计功能，也就是audit，通过日志查看用户的操作行为

1、安装和开启auditd服务：

      安装：yum  install  audit  安装后默认启动    

      查看运行状态:  service  auditd  status

2、查看auditd的服务状态的另一种方式： auditctl  -s

         

   enabled为1表示开启，0表示关闭

3、服务开启后，所有的审计日志会记录在/var/log/audit/audit.log文件中

     该文件记录格式是每行以type开头，其中红框处是事件发生的时间（代表从1970年1月1日到现在过了多久，可以用date命令转换格式），冒号后面的数字是事件ID，同一个事件ID是一样的