在企业级服务器运维和安全合规中，RockyLinux audit日志 是一项至关重要的功能。它能够记录系统中发生的各类安全相关事件，如文件访问、用户登录、权限变更等，帮助管理员追踪异常行为、满足合规要求（如等保、ISO27001等）。本文将从零开始，详细讲解如何在 RockyLinux 上启用、配置和分析 audit 审计日志，即使是 Linux 新手也能轻松上手。
一、什么是 Audit 审计系统？
Audit 是 Linux 内核提供的一个审计框架，通过
auditd守护进程运行。它可以监控系统调用、文件访问、用户操作等，并将这些事件记录到日志中。这些日志对于安全审计、故障排查和行为追溯非常有价值。
二、安装与启动 auditd 服务
RockyLinux 通常默认已安装
audit包，但若未安装，可使用以下命令安装：
安装完成后，启动并设置开机自启： 验证服务状态： Audit 的核心在于规则配置。规则定义了哪些行为需要被记录。规则分为两类：永久规则（写入配置文件）和临时规则（重启后失效）。 我们推荐使用永久规则。编辑规则文件： 下面是一些常用规则示例（可直接复制到文件中）： 保存文件后，重新加载规则： Audit 日志默认存储在 1. 查看最近的审计日志： 上述命令会显示所有标记为 2. 生成人类可读的报告： 该命令会列出所有执行过 sudo 的记录。 通过本文，你已经掌握了在 RockyLinux 上配置和使用 Linux审计日志配置 的完整流程。无论是为了满足合规要求，还是提升系统安全性，auditd服务教程 提供的基础能力都不可或缺。记住，有效的 系统安全审计 不仅依赖于日志收集，更在于持续的监控与响应。 提示：生产环境中建议结合 SELinux 和防火墙策略，构建纵深防御体系。sudo dnf install audit -y sudo systemctl start auditdsudo systemctl enable auditd sudo systemctl status auditd 三、配置审计规则（关键步骤）
sudo vi /etc/audit/rules.d/audit.rules # 记录所有时间变更操作-a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time_change-a always,exit -F arch=b32 -S adjtimex -S settimeofday -S stime -k time_change# 监控敏感文件（如 /etc/passwd）-w /etc/passwd -p wa -k identity-w /etc/shadow -p wa -k identity# 记录所有 sudo 命令使用-w /usr/bin/sudo -p x -k priv_cmd# 记录用户登录/登出-w /var/log/faillog -p wa -k logins-w /var/log/lastlog -p wa -k logins sudo augenrules --load# 或者如果使用 audit.rules 直接加载sudo systemctl restart auditd 四、查看与分析 audit 日志
/var/log/audit/audit.log
。但直接阅读原始日志较困难，建议使用专用工具解析。sudo ausearch -k identity identity
的事件（即对 passwd/shadow 的操作）。sudo aureport -x --key priv_cmd 五、常见问题与最佳实践
日志文件可能快速增长，建议配置 logrotate 轮转策略。 避免监控过多文件，否则会影响系统性能。 定期审查日志，结合 SIEM 系统（如 ELK、Wazuh）实现集中分析。 确保 auditd
服务始终运行，可通过监控工具告警其状态。 六、总结
