守护系统安全的第一道防线（Linux用户审计日志完整入门教程）

在当今网络安全形势日益严峻的环境下，对 Linux 系统进行有效的用户行为审计显得尤为重要。通过合理配置 Linux用户审计 功能，管理员可以追踪谁在何时执行了什么操作，从而及时发现异常行为、满足合规要求并提升整体 系统安全监控 能力。

什么是 Linux 用户审计？

Linux 用户审计是指利用内核级审计子系统（audit subsystem）记录用户和系统进程的关键操作，如文件访问、权限变更、命令执行等。这些日志通常由 auditd 守护进程管理，是实现 Linux安全日志 收集的核心组件。

第一步：安装 auditd

大多数现代 Linux 发行版默认未安装 auditd，需手动安装：

# Ubuntu/Debiansudo apt updatesudo apt install auditd audispd-plugins# CentOS/RHEL/Rocky Linuxsudo yum install audit audit-libs# 或使用 dnf（较新版本）sudo dnf install audit  

第二步：启动并启用 auditd 服务

安装完成后，启动服务并设置开机自启：

sudo systemctl start auditdsudo systemctl enable auditd  

第三步：配置审计规则

审计规则定义了需要监控的事件。规则分为两类：

• 临时规则：重启后失效，使用 auditctl 命令添加。
• 永久规则：写入配置文件（通常是 /etc/audit/rules.d/audit.rules），重启后依然生效。

下面是一个简单的永久规则示例，用于监控敏感文件的访问：

# 创建规则文件sudo nano /etc/audit/rules.d/monitor-sensitive.rules# 添加以下内容-w /etc/passwd -p rwxa -k passwd_access-w /etc/shadow -p rwxa -k shadow_access-w /bin/su -p x -k su_execution-a always,exit -F arch=b64 -S execve -k command_exec  

参数说明：

• -w：监控指定路径
• -p rwxa：监控读(r)、写(w)、执行(x)、属性修改(a)
• -k：为规则打上关键字标签，便于后续查询
• -a always,exit：在系统调用退出时记录
• -S execve：监控 execve 系统调用（即命令执行）

第四步：重新加载规则并验证

添加完永久规则后，需重启 auditd 或重新加载规则：

# 方法一：重启服务（推荐）sudo systemctl restart auditd# 方法二：手动加载规则（不重启服务）sudo augenrules --load  

验证规则是否生效：

sudo auditctl -l  

第五步：查看与分析审计日志

所有审计日志默认保存在 /var/log/audit/audit.log。直接查看原始日志较为困难，建议使用专用工具：

# 查看所有日志sudo ausearch -f /etc/passwd# 按关键字查询（例如 passwd_access）sudo ausearch -k passwd_access# 生成可读性报告sudo aureport -x --summary  

通过这些命令，你可以快速定位特定用户的操作记录，实现高效的 系统安全监控。

小贴士：日志轮转与安全保护

为防止日志文件过大，建议配置 logrotate。同时，应限制对 /var/log/audit/ 目录的访问权限，仅允许 root 用户读取，以保障 Linux安全日志 的完整性。

结语

掌握 Linux用户审计 技术，不仅能帮助你满足等保、ISO27001 等合规要求，更能为系统安全提供坚实的数据支撑。从今天开始配置你的 auditd，让每一次操作都留下清晰的足迹！