临时审计规则补录做什么
处置期间可以临时补几条审计规则，重点盯两类行为：命令执行（execve 系统调用）与关键文件写入。规则带上自定义 key 之后，就能用 ausearch 精确捞出这段时间的相关事件，为时间线补上「谁在什么时候执行了什么」这类证据。
基本信息
| 命令执行监控 | auditctl -a always,exit -F arch=b64 -S execve -k ir-cmd |
|---|---|
| 文件监控 | auditctl -w /etc/passwd -p wa -k ir-etc |
| 查看规则 | auditctl -l / auditctl -s |
| 查询事件 | ausearch -k <key> --start recent |
| 持久化 | 写入 /etc/audit/rules.d/ 后 augenrules --load |
| 代价 | 全量 execve 监控显著增加日志量与系统开销 |
典型使用场景
- 处置期间盯住攻击者是否还有后续动作
- 怀疑有人继续改关键配置文件（passwd、sudoers、sshd_config）
- 为时间线补充「谁执行了什么命令」的证据
- 观察期监控是否有人重新落地后门
- 排查某个账号的异常行为
- 事件结束后删除临时规则，恢复原有监控强度
- 为后续追责或诉讼补齐审计证据
添加、验证与删除临时规则
添加、验证与删除临时规则
auditctl -l | head -n 20 # 先看现有规则
sudo auditctl -a always,exit -F arch=b64 -S execve -k ir-cmd # 记录 64 位命令执行
sudo auditctl -w /etc/passwd -p wa -k ir-etc # 监控关键文件写入与属性变更
ausearch -k ir-cmd --start recent | tail -n 20 # 查最近命中事件
sudo auditctl -d always,exit -F arch=b64 -S execve -k ir-cmd # 处置完成后删除规则
sudo auditctl -l | grep -c ir- # 确认规则已清理规则参数读法
| 参数 | 含义 | 注意事项 |
|---|---|---|
| -a always,exit | 在系统调用退出时记录 | 需配合 -F arch 限定架构 |
| -S execve | 记录命令执行 | 32 位系统需改为 arch=b32 |
| -w <路径> -p wa | 监控写入与属性变更 | 文件监控的常用组合 |
| -k <key> | 自定义标签 | 查询与删除规则都依赖它 |
| -F uid=<账号> | 限定特定用户 | 可显著降低事件量 |
规则标签要写进排查记录：ausearch -k 靠 key 检索，标签一旦丢了，对应事件就再也捞不回来。
全量 execve 监控会明显增加日志量与系统开销：处置完成后用 auditctl -d 删除对应规则，不要长期留着。
auditctl 加的规则在重启后失效，属于临时措施；确需长期保留时写进 /etc/audit/rules.d/ 并用 augenrules --load 加载，同时评估磁盘与性能影响。