auditd服务开启

### 如何在Linux系统中启动和配置auditd服务

#### 启动auditd服务

对于基于Red Hat的系统，可以使用`systemctl`命令来管理auditd服务：

sudo systemctl start auditd.service

为了确保每次开机自动启动该服务，还需要设置其为开机自启状态[^1]。

对于基于Debian/Ubuntu的系统，同样适用上述方法；另外也可以通过特定于发行版的方式来进行操作，比如利用`service`命令：

sudo service auditd start

#### 配置auditd服务

配置文件通常位于/etc/audit/目录下。主要的配置文件有`auditd.conf`用于定义守护程序的行为以及`audispd.conf`用来控制事件分发器插件的工作方式[^2]。

要使更改生效，在修改任何配置之后应当重启auditd服务：

sudo systemctl restart auditd.service

或者针对Debian/Ubuntu系列的操作系统：

sudo service auditd restart

如果是在Debian/Ubuntu基础上的其他衍生版本（例如统信UOS、麒麟KOS），则应先确认已经正确安装了此软件包[^3]。

当需要查看由auditd产生的日志条目时，默认情况下它们会被存储在`/var/log/audit/audit.log`文件里。不过这依赖于本地rsyslog设施的状态——只有当auditd正常工作的时候才会如此记录数据[^4]。