Auditd-Linux安全审计工具

最新推荐文章于 2025-06-26 13:10:47 发布

转载最新推荐文章于 2025-06-26 13:10:47 发布 · 395 阅读

CC 4.0 BY-SA版权

原文链接：https://segmentfault.com/a/1190000016459610

文章标签：

本文介绍了Auditd工具在Linux系统中的应用，包括安装方法、主要工具及其功能，如auditctl、ausearch、aureport等，并提供了监控文件和目录的具体操作步骤。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Auditd工具可以帮助运维人员审计Linux。

$ apt-get install auditd

auditd拥有一系列的工具

$ auditctl -help

查看帮助。

$ auditctl -l

$ auditctl -w /etc/passwd -p rwxa

运行之后就会对/etc/passwd文件进行监控。
各个参数：

-w：此参数将在路径中插入文件系统对象的监视
-p：此参数描述文件系统监视将触发的权限访问类型
rwxa：是绑定到上面的-p参数的属性。读取r，w写入，x是执行，a是属性

如果不想要继续监控下去，只需：

$ auditctl -W /etc/passwd

$ auditctl -w /data/

用来查看审核的日志。
例如：

$ ausearch -f /etc/passwd
...

$ aureport

不加任何参数，将生成审计活动的摘要报告。
如果有出现验证失败，可以：

$ aureport -au

如果想要查看于账户修改相关的所有事件，加上-m参数：

$ aureport -m

如果想要审核永久化的话，需要编辑/etc/audit/rules.d/audit.rules

然后重新加载配置文件：

$ augenrules --load

或者重启服务：

$ systemctl restart auditd