当前位置：首页 > 服务器教程 > Nginx > RockyLinux网络审计日志配置（手把手教你开启并配置auditd实现全面网络安全日志监控） > 正文

RockyLinux网络审计日志配置（手把手教你开启并配置auditd实现全面网络安全日志监控）

来源：这里教程网 时间：2026-03-25 23:14:53 作者：

在当今的网络安全环境中，对系统行为进行详细记录和审计是保障服务器安全的重要手段。RockyLinux作为RHEL的社区替代版本，继承了其强大的安全特性。本文将围绕RockyLinux网络审计日志配置这一主题，手把手教你如何启用并配置 

auditd
服务，实现对关键系统调用、文件访问、用户操作等行为的全面监控，即使你是Linux小白也能轻松上手。

什么是 auditd？

auditd
（Audit Daemon）是Linux内核提供的一个审计框架，它能够记录系统中发生的各种安全相关事件，如文件访问、系统调用、用户登录、权限变更等。通过合理配置，你可以追踪谁在什么时候做了什么操作，这对于故障排查、合规审计和入侵检测至关重要。

第一步：安装 auditd 服务

大多数RockyLinux系统默认已预装 

auditd
，但为确保万无一失，请执行以下命令进行安装：

sudo dnf install audit -y

第二步：启动并启用 auditd 服务

安装完成后，启动服务并设置开机自启：

sudo systemctl start auditdsudo systemctl enable auditd

验证服务状态：

sudo systemctl status auditd

第三步：配置审计规则（核心步骤）

审计规则定义了哪些行为需要被记录。规则分为两类：临时规则（重启后失效）和永久规则（写入配置文件）。

3.1 添加临时规则（用于测试）

例如，监控对 

/etc/passwd
文件的读写操作：

sudo auditctl -w /etc/passwd -p rwxa -k passwd_access

参数说明：
- 

-w
：监控指定文件或目录
- 
-p rwxa
：r=读, w=写, x=执行, a=属性变更
- 
-k passwd_access
：为该规则打上关键字标签，便于后续查询

3.2 配置永久规则

要使规则在系统重启后依然生效，需编辑 

/etc/audit/rules.d/audit.rules
文件（或新建一个以 
.rules
结尾的文件）：

sudo vi /etc/audit/rules.d/99-custom.rules

在文件中添加以下内容（每行一条规则）：

# 监控关键系统文件-w /etc/passwd -p rwxa -k passwd_access-w /etc/shadow -p rwxa -k shadow_access-w /etc/sudoers -p rwxa -k sudoers_access# 监控网络相关系统调用-a always,exit -F arch=b64 -S socket -S bind -S connect -k network_activity-a always,exit -F arch=b32 -S socket -S bind -S connect -k network_activity# 记录所有execve调用（程序执行）-a always,exit -F arch=b64 -S execve -k exec-a always,exit -F arch=b32 -S execve -k exec

保存文件后，重新加载规则：

sudo augenrules --load# 或者如果使用 audit.rules 文件：# sudo systemctl restart auditd

第四步：查看与分析审计日志

审计日志默认存储在 

/var/log/audit/audit.log
。直接查看原始日志较难理解，建议使用专用工具：

ausearch
：按条件搜索日志 
aureport
：生成汇总报告

例如，查找所有标记为 

passwd_access
的事件：

sudo ausearch -k passwd_access

生成每日执行程序的摘要报告：

sudo aureport -x --summary

第五步：日志轮转与安全加固

为防止日志文件过大，建议配置日志轮转。编辑 

/etc/audit/auditd.conf
：

sudo vi /etc/audit/auditd.conf

关键参数建议：

max_log_file = 100 # 单个日志最大100MBmax_log_file_action = rotate # 达到上限后轮转num_logs = 10 # 保留10个旧日志space_left = 100 # 剩余空间低于100MB时告警space_left_action = email # 发送邮件告警（需配置邮件服务）

总结

通过以上步骤，你已经成功完成了RockyLinux网络审计日志配置。这套配置不仅能帮助你满足合规要求（如等保、ISO27001），还能在发生安全事件时提供关键线索。记住，Linux系统日志审计不是“有就行”，而是要根据业务需求定制规则，并定期审查日志。

如果你负责企业服务器运维，强烈建议将审计日志集中收集到SIEM系统（如ELK、Splunk），实现更高效的网络安全日志设置与分析。希望这篇auditd配置教程能助你筑牢系统安全防线！

编辑推荐：

相关推荐

最新软件资讯

RockyLinux网络审计日志配置（手把手教你开启并配置auditd实现全面网络安全日志监控）
RockyLinux网络审计日志配置（手把手教你开启并配置auditd实现全面网络安全日志监控）

热文推荐

天极热推