| 执行监控 | auditctl -a always,exit -F arch=b64 -S execve -k cmd-watch |
|---|---|
| 文件监控 | -w /etc/passwd -p wa -k etc-watch |
| 查看 | auditctl -l / auditctl -s |
| 持久化 | 写 /etc/audit/rules.d/ 后 augenrules --load |
添加与验证临时规则
添加与验证临时规则
auditctl -l | head -n 20
auditctl -a always,exit -F arch=b64 -S execve -k ir-cmd
auditctl -w /etc/passwd -p wa -k ir-etc
ausearch -k ir-cmd --start recent | tail -n 20全量 execve 监控会显著增加日志量与开销；处置完成后用 auditctl -d 删除对应规则。