linux使用auditd守护的进程启动对/etc/shadow写入操作的审核，并检查审核设置

Linux中的auditd（Advanced Audit Daemon）是一个强大的审计工具，用于实时监控系统活动并记录潜在的安全事件。当审计d守护进程启动时，它会对系统关键文件如/etc/shadow（用户密码文件）的访问和修改进行审计，这些文件通常只允许root权限访问，防止未经授权的操作。

审计规则可以在/etc/audit/audit.rules文件中配置，通过添加适当的条目告诉auditd哪些特定的文件或操作应该被跟踪。例如，可以设置规则去监控所有试图写入/etc/shadow的行为：

-a exit,always -F path="/etc/shadow" -w write -k shadow_write_access

这条规则的意思是如果尝试对/etc/shadow进行写操作（write），无论结果如何（exit），都会触发审计事件并标记为`shadow_write_access`。

启用审计服务后，需要启动auditd以及设置相应的开机自启项（通常是sysvinit下的`auditd.service`或systemd下的`auditd.socket`）。命令可能是：

sudo service auditd start
sudo systemctl enable auditd

检查审计设置的话，你可以使用`auditctl`命令查看当前审计配置、最近的审计日志或审计策略：

# 查看当前审计配置
auditctl -l

# 检查最近的审计事件
auditctl -S

# 确认某个规则是否生效
grep "shadow_write_access" /etc/audit/audit.rules