aduitctl 审计功能简单介绍

敏感目录 /etc/ /tmp/
auditctl -w /etc/shadow -p rwxa -k "SHADOW" 创建记录
auditctl -l 查看记录条目
auditctl -D 清除记录
ausearch -k "SHADOW" 查看记录

以下规则相同
auditctl -w /etc/ -p wa
auditctl -a exit,always -F dir=/etc/ -F perm=wa

登录 审计 auid不等于0 uid＝0的行为 危险信号
vim /etc/rc.local
auditctl -R /etc/audit/aut.log

vim /etc/audit/aut.log
-a exit,always -F uid!=0 euid=0 -F perm=uid
-a exit,always -F auid!=0 uid=0 -F perm=auid

登录信息

aureport -l

aureport -s

查看详细参数

man aureport