在CentOS系统中，对SFTP进行日志审计可以帮助你监控和记录用户的SFTP活动。以下是一些步骤和方法来实现SFTP日志审计：
首先，确保你的SSH和SFTP服务配置正确，并且日志记录功能已启用。
打开SSH配置文件 /etc/ssh/sshd_config：
sudo vi /etc/ssh/sshd_config
确保以下配置项存在并正确设置：
LogLevel VERBOSE
SyslogFacility AUTHPRIV
这些配置项将确保SSH和SFTP的详细日志记录到系统日志中。
保存并关闭文件后，重启SSH服务以应用更改：
sudo systemctl restart sshd
确保系统日志服务（如rsyslog）正在运行，并且配置为记录AUTHPRIV设施的日志。
打开rsyslog配置文件 /etc/rsyslog.conf 或 /etc/rsyslog.d/50-default.conf：
sudo vi /etc/rsyslog.conf
确保以下行存在并取消注释：
authpriv.* /var/log/secure
保存并关闭文件后，重启rsyslog服务以应用更改：
sudo systemctl restart rsyslog
现在，你可以在 /var/log/secure 文件中查看SFTP活动的详细日志。
你可以使用 grep 命令来过滤出SFTP相关的日志条目：
sudo grep 'sftp-server' /var/log/secure
或者，你可以查看特定时间段的日志：
sudo grep 'sftp-server' /var/log/secure | grep 'Oct 10'
如果你需要更高级的日志审计功能，可以考虑使用审计工具，如 auditd。
安装 auditd：
sudo yum install audit
编辑 auditd 配置文件 /etc/audit/auditd.conf：
sudo vi /etc/audit/auditd.conf
确保以下配置项存在并正确设置：
log_format = RAW
log_target = SYSLOG
启动 auditd 服务并设置为开机自启：
sudo systemctl start auditd
sudo systemctl enable auditd
添加规则来监控SFTP活动。例如，监控 /var/log/secure 文件的变化：
sudo auditctl -w /var/log/secure -p wa -k sftp_audit
你可以使用 ausearch 和 aureport 工具来查看和分析审计日志：
sudo ausearch -k sftp_audit
sudo aureport -k sftp_audit
通过这些步骤，你可以在CentOS系统中有效地进行SFTP日志审计，确保系统的安全性和合规性。