Linux单机日志审核怎么设置

# Linux单机日志审核怎么设置

在Linux系统中，日志审核是安全运维的重要环节。通过配置日志审核，可以记录系统关键事件，便于事后追溯和分析。以下是单机环境下的日志审核设置方法：

## 一、使用auditd服务

1. **安装auditd工具**  
   主流Linux发行版通常预装auditd，若未安装可执行：
   ```bash
   sudo apt install auditd -y  # Debian/Ubuntu
   sudo yum install audit -y   # CentOS/RHEL

1. 启动并设置开机自启

   sudo systemctl enable --now auditd
   

2. 添加审计规则
   编辑/etc/audit/rules.d/audit.rules文件，示例规则：

   -w /etc/passwd -p wa -k user_changes
   -a always,exit -F arch=b64 -S execve -k process_exec
   

二、关键配置文件

1. 主配置文件
   /etc/audit/auditd.conf控制日志存储行为：

   max_log_file = 50   # 日志文件大小(MB)
   num_logs = 5        # 保留日志数量
   

2. 查看日志
   使用ausearch工具查询记录：

   ausearch -k user_changes | tail -n 20
   

三、日志轮转配置

编辑/etc/logrotate.d/audit确保日志定期归档：

/var/log/audit/*.log {
    weekly
    rotate 4
    compress
}

四、验证配置

1. 手动触发审计事件（如修改密码）
2. 检查日志记录：

   
   sudo tail -f /var/log/audit/audit.log
   

提示：生产环境建议结合audit2allow工具进行策略分析，复杂场景可考虑部署ELK等日志分析系统。 “`

（全文约400字，包含配置示例和操作说明）