auditd使用讲解

auditd是Linux系统中的一个审计服务，它可以记录系统中的各种事件，例如用户登录、文件访问、进程启动等等。通过审计日志，管理员可以了解系统的安全情况，及时发现异常行为并采取相应的措施。下面是auditd的使用讲解：

1. 安装auditd服务：在CentOS系统中，可以使用以下命令安装auditd服务：

   yum install audit -y

2. 配置audit规则：auditd的规则配置文件为/etc/audit/audit.rules，可以通过编辑该文件来配置需要审计的事件。例如，以下规则可以审计所有用户的登录事件：

   -w /var/log/faillog -p wa -k logins
   -w /var/log/lastlog -p wa -k logins

3. 启动auditd服务：可以使用以下命令启动auditd服务：

   systemctl start auditd

4. 查看审计日志：审计日志默认存储在/var/log/audit/audit.log文件中，可以使用以下命令查看审计日志：

   ausearch -m USER_LOGIN

该命令可以查看所有用户登录事件的审计日志。