| 命令 | auditctl -s 查看 enabled 值 |
|---|---|
| 取值 | 0 关闭、1 启用、2 不可变 |
核查
核查
auditctl -s | grep -E 'enabled|lost'
grep -Rn '^\s*-e 2' /etc/audit/rules.d/ /etc/audit/audit.rules 2>/dev/null启用不可变后新增规则需重启主机，运维变更流程要提前协调。
审计不可变模式与规则防篡改
把审计配置置为不可变（-e 2）后规则无法在线修改，可防止攻击者临时关闭审计；该状态需要重启才能解除。
易错点
- enabled 为 2 时排障不能再调规则，需要临时重启权衡
- 值被改为 0 表示审计已关闭，本身是重要发现
数据来源与参考
- auditd 官方手册（auditctl(8) -e 选项）