规则示例（/etc/audit/rules.d/compliance.rules）
规则示例（/etc/audit/rules.d/compliance.rules）
# 监控账号与认证关键文件
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/sudoers -p wa -k privilege
# 记录提权执行
-a always,exit -F arch=b64 -S execve -C uid!=euid -k privilege
# 记录权限拒绝
-a always,exit -F arch=b64 -S open,openat -F exit=-EACCES -k access_denied生效与查询
生效与查询
augenrules --load # 重新加载规则
auditctl -l | head # 查看已加载规则
ausearch -k identity -ts recent # 按 key 检索
aureport -au --summary # 认证事件汇总规则过宽会淹没日志；上线前评估规则量与磁盘占用，生产环境建议设置 max_log_file 与轮转。