linux审计日志怎么开启

在 Linux 中，“审计日志”通常指 auditd（Linux Audit 子系统），用于记录系统调用、文件访问、用户操作等安全相关事件。下面按常见发行版说明如何开启。

一、基于 systemd 的发行版（CentOS / RHEL / Rocky / Alma / Ubuntu / Debian）

1. 安装 audit 工具

# RHEL / CentOS
yum install -y audit

# Ubuntu / Debian
apt install -y auditd

2. 启动并开机自启

systemctl start auditd
systemctl enable auditd

3. 确认状态

systemctl status auditd
auditctl -s

看到 enabled 1 表示已开启。

二、配置审计规则（可选但重要）

查看当前规则

auditctl -l

添加临时规则（重启失效）

# 监控 /etc/passwd 被读取或修改
auditctl -w /etc/passwd -p wa -k passwd_change

永久规则（推荐）

编辑：

/etc/audit/rules.d/audit.rules

示例：

-w /etc/passwd -p wa -k passwd_change
-w /var/log -p wa -k log_access

重新加载：

augenrules --load
# 或
systemctl restart auditd

三、查看审计日志

日志位置

/var/log/audit/audit.log

使用工具查看

ausearch -k passwd_change
aureport -u        # 用户行为报告

四、常见问题

auditd 无法启动？

• 检查 SELinux 是否阻止
• 查看：

journalctl -xe

容器 / 云服务器不支持？

部分轻量容器（如 Docker）默认无 audit 命名空间，需在宿主机开启。

五、简化总结

apt/yum install auditd
systemctl enable --now auditd
auditctl -w /etc -p wa -k etc_watch

如果你告诉我 具体 Linux 发行版 + 想审计什么（文件 / 命令 / 登录），我可以给你更精确的规则示例。