auditd之前启动的进程的审计

/etc/default/grub 是一个配置文件，用于定义 GRUB（GRand Unified Bootloader）的默认设置。GRUB 是一个引导加载程序，负责在系统启动时加载操作系统内核。 /etc/default/grub 文件包含了 GRUB 的各种配置选项，这些选项会影响系统的启动过程。

/etc/default/grub 的主要配置选项

以下是一些常见的配置选项及其用途：

• GRUB_DEFAULT：指定默认启动的菜单项。例如，GRUB_DEFAULT=0 表示默认启动第一个菜单项。
• GRUB_TIMEOUT：设置 GRUB 菜单显示的超时时间（以秒为单位）。例如，GRUB_TIMEOUT=5 表示菜单显示 5 秒后自动启动默认项。
• GRUB_CMDLINE_LINUX：向 Linux 内核传递的命令行参数。例如，GRUB_CMDLINE_LINUX="quiet splash" 会使启动过程安静并显示启动画面。
• GRUB_CMDLINE_LINUX_DEFAULT：向 Linux 内核传递的默认命令行参数，通常用于设置默认的启动选项。

auditd 和 GRUB 的关系

auditd 是 Linux 审计守护进程，负责记录系统的安全相关事件。为了确保在系统启动的早期阶段就开始记录审计事件，可以通过 GRUB 配置文件向内核传递 audit=1 参数。这会在内核启动时启用审计功能，从而确保在 auditd 守护进程启动之前的所有事件都被记录。

向内核传递 audit=1 参数

通过在 /etc/default/grub 文件中的 GRUB_CMDLINE_LINUX 选项添加 audit=1 参数，可以确保在系统启动时启用审计功能。具体步骤如下：

1. 编辑 /etc/default/grub 文件：

sudo nano /etc/default/grub

2. 找到 GRUB_CMDLINE_LINUX 行，并添加 audit=1 参数。例如：

GRUB_CMDLINE_LINUX="audit=1"

如果 GRUB_CMDLINE_LINUX 行已经存在其他参数，只需在现有参数后面添加 audit=1，用空格分隔。例如：

GRUB_CMDLINE_LINUX="rhgb quiet audit=1"

3. 更新 GRUB 配置：

• 对于基于 Debian 的系统（如 Ubuntu）：

sudo update-grub

• 对于基于 Red Hat 的系统（如 CentOS、RHEL）：

sudo grub2-mkconfig -o /boot/grub2/grub.cfg

或者，如果使用 UEFI 引导：

sudo grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

4. 重启系统以使更改生效：

sudo reboot

5. 验证配置：

重启后，可以通过以下命令验证 audit=1 参数是否生效：

grep "audit=1" /proc/cmdline

如果输出包含 audit=1，则表示配置已生效。

总结

/etc/default/grub 文件用于配置 GRUB 引导加载程序的默认设置。通过在该文件中添加 audit=1 参数，可以确保在系统启动时启用审计功能，从而记录在 auditd 守护进程启动之前的所有事件。这对于系统安全和审计非常重要。