RockyLinux网络审计日志配置（手把手教你开启并配置auditd实现全面网络安全日志监控）

什么是 auditd？

auditd（Audit Daemon）是Linux内核提供的一个审计框架，它能够记录系统中发生的各种安全相关事件，如文件访问、系统调用、用户登录、权限变更等。通过合理配置，你可以追踪谁在什么时候做了什么操作，这对于故障排查、合规审计和入侵检测至关重要。

第一步：安装 auditd 服务

大多数RockyLinux系统默认已预装 auditd，但为确保万无一失，请执行以下命令进行安装：

sudo dnf install audit -y

第二步：启动并启用 auditd 服务

安装完成后，启动服务并设置开机自启：

sudo systemctl start auditdsudo systemctl enable auditd

验证服务状态：

sudo systemctl status auditd

第三步：配置审计规则（核心步骤）

审计规则定义了哪些行为需要被记录。规则分为两类：临时规则（重启后失效）和永久规则（写入配置文件）。

3.1 添加临时规则（用于测试）

例如，监控对 /etc/passwd 文件的读写操作：

sudo auditctl -w /etc/passwd -p rwxa -k passwd_access

参数说明：
- -w：监控指定文件或目录
- -p rwxa：r=读, w=写, x=执行, a=属性变更
- -k passwd_access：为该规则打上关键字标签，便于后续查询

3.2 配置永久规则

要使规则在系统重启后依然生效，需编辑 /etc/audit/rules.d/audit.rules 文件（或新建一个以 .rules 结尾的文件）：

sudo vi /etc/audit/rules.d/99-custom.rules

在文件中添加以下内容（每行一条规则）：

# 监控关键系统文件-w /etc/passwd -p rwxa -k passwd_access-w /etc/shadow -p rwxa -k shadow_access-w /etc/sudoers -p rwxa -k sudoers_access# 监控网络相关系统调用-a always,exit -F arch=b64 -S socket -S bind -S connect -k network_activity-a always,exit -F arch=b32 -S socket -S bind -S connect -k network_activity# 记录所有execve调用（程序执行）-a always,exit -F arch=b64 -S execve -k exec-a always,exit -F arch=b32 -S execve -k exec

保存文件后，重新加载规则：

sudo augenrules --load# 或者如果使用 audit.rules 文件：# sudo systemctl restart auditd

第四步：查看与分析审计日志

审计日志默认存储在 /var/log/audit/audit.log。直接查看原始日志较难理解，建议使用专用工具：

• ausearch：按条件搜索日志
• aureport：生成汇总报告

例如，查找所有标记为 passwd_access 的事件：

sudo ausearch -k passwd_access

生成每日执行程序的摘要报告：

sudo aureport -x --summary

第五步：日志轮转与安全加固

为防止日志文件过大，建议配置日志轮转。编辑 /etc/audit/auditd.conf：

sudo vi /etc/audit/auditd.conf

关键参数建议：

max_log_file = 100          # 单个日志最大100MBmax_log_file_action = rotate # 达到上限后轮转num_logs = 10                # 保留10个旧日志space_left = 100             # 剩余空间低于100MB时告警space_left_action = email    # 发送邮件告警（需配置邮件服务）

总结

通过以上步骤，你已经成功完成了RockyLinux网络审计日志配置。这套配置不仅能帮助你满足合规要求（如等保、ISO27001），还能在发生安全事件时提供关键线索。记住，Linux系统日志审计不是“有就行”，而是要根据业务需求定制规则，并定期审查日志。

如果你负责企业服务器运维，强烈建议将审计日志集中收集到SIEM系统（如ELK、Splunk），实现更高效的网络安全日志设置与分析。希望这篇auditd配置教程能助你筑牢系统安全防线！