审计日志远程转发的价值
audisp-remote 把审计事件实时转发到集中服务器，即使本机日志被清理或主机被重装，关键记录仍然保留在远端，这是审计完整性最有效的兜底手段。核查要点是配置文件里 remote_server 的取值、插件是否启用，以及队列容量与网络中断时的处理策略。还要注意远端记录的时间戳来自发送端主机，主机之间时钟不同步会让聚合后的时间线出现偏差，比对前需要先确认时钟同步状况。
基本信息
| 配置文件 | /etc/audit/audisp-remote.conf 与 plugins.d/au-remote.conf |
|---|---|
| 关键项 | remote_server、active、队列容量与传输方式 |
| 默认端口 | auditd 远程传输默认使用 60 端口 |
| 注意 | 时间戳来自发送端主机，依赖时钟同步 |
典型使用场景
- 确认审计事件是否会被转发到集中平台
- 主机被重装或日志被删除后从远端恢复记录
- 排查转发中断的时间段，评估记录缺口
- 核对集中平台上的数据与主机本地日志是否一致
- 评估网络异常时的丢事件风险
核查转发配置
核查转发配置
grep -vE '^\s*#|^\s*$' /etc/audit/audisp-remote.conf 2>/dev/null | head -20
grep -E 'active|direction' /etc/audit/plugins.d/au-remote.conf 2>/dev/null
systemctl is-active auditd # 服务状态
ss -tnp | grep -i audit # 与远端服务器的连接
journalctl -u auditd --since '-1 day' | grep -i remote | tail -10 # 转发异常提示配置项读法
| 配置项 | 含义 | 判读要点 |
|---|---|---|
| remote_server | 集中服务器地址 | 为空表示未配置转发 |
| active | 插件是否启用 | no 表示配置存在但不生效 |
| 队列与重试 | 缓存与失败处理策略 | 决定网络中断时的丢事件风险 |
| transport | 传输方式与端口 | 确认与集中端策略匹配 |
转发中断期间的事件只存在于本地，两侧记录需要合并核对；本地队列满后的事件会被丢弃，这一点要在报告的证据完整性说明中讲清楚。
集中平台的优势在于记录不可被本机操作删除，取证时优先向平台方索取对应时间段的原始数据，再与本地日志交叉验证。
配置转发后审计数据会离开本机，涉及数据出境或第三方平台时要先确认合规要求，不要把敏感字段无差别外发。