linux日志审计配置

在Linux系统中进行日志审计可以帮助管理员更好地了解系统的运行状况和发现潜在的安全问题。下面是一个简单的步骤，用于配置Linux系统的日志审计。

1. 安装 audit 工具

在大多数 Linux 发行版中，audit 工具已经预安装。如果没有，可以使用以下命令安装：

sudo apt-get install auditd    # Debian/Ubuntu
sudo yum install audit        # CentOS/RHEL

2. 配置审计规则

审计规则用于确定哪些事件需要被记录下来。可以编辑 /etc/audit/rules.d/audit.rules 文件来定义审计规则。这个文件可能已经存在了，如果不存在，可以手动创建。

以下是一个例子：

# This file contains the auditctl rules that are loaded
# whenever the audit daemon is started via the init scripts.
# The rules are simply the parameters that would be passed
# to auditctl.

# First rule - delete all
-D

# Increase the buffers to survive stress events.
# Make this bigger for busy systems
-b 8192

# Feel free to add below this line. See auditctl man page
# for more information

3. 启动 auditd 服务

配置完成后，启动 auditd 服务：

sudo systemctl start auditd

4. 查看审计日志

审计日志存储在 /var/log/audit/audit.log 文件中。可以使用以下命令来查看日志：

sudo ausearch -i -ts today

这将显示今天发生的所有审计事件。可以使用其他选项来指定时间范围、事件类型等。