Ubuntu开启audit审计日志

一、更新系统并安装auditd

sudo apt update
sudo apt-get  install  auditd

二、修改配置文件 

#sudo  vim  /etc/audit/auditd.conf
#日志文件位置
log_file = /var/log/audit/audit.log
#日志文件大小(Mb)
max_log_file = 8
#日志文件数量
num_logs = 5

三、启动服务

sudo  systemctl  restart  auditd
sudo  systemctl  enable  auditd  设置开机自启动

sudo systemctl status auditd   查看服务状态

四、查看当前审计规则 可以不用设置

sudo auditctl -l

五、对审计记录进行定期备份

/var/log/audit/audit.log

六、

1、新建目录 sudo mkdir -p /backlog

2、修改所属 sudo chown -R tf /backlog

3、新增执行文件 vim backlog.sh

#!/bin/bash
log_file_path="/var/log/audit/audit.log"
backup_file_name="auditlog_backup_$(date +%Y%m%d).log"
cp $log_file_path /backlog/$backup_file_name

4、增加执行权限 chmod +x backlog.sh

5、手动执行 sudo ./backlog.sh

6、通过scp手动拷贝到本地

###sudo apt install cifs-utils

###sudo mount -t cifs -o username=backup,password='123' //10.10.87.40/backup /mnt/backup

###新增backup.sh

###chmod +x 1.sh

###crontab -e