Linux 取证135 条

审计日志远程转发配置

audisp-remote 把审计事件实时发往集中服务器，主机被清理后仍能保留关键记录，是审计完整性的兜底手段。

配置	/etc/audit/audisp-remote.conf、plugins.d/au-remote.conf
关键项	remote_server、enable_krb5、queue 参数

核查

grep -E 'remote_server|active' /etc/audit/audisp-remote.conf /etc/audit/plugins.d/au-remote.conf 2>/dev/null

远端服务器上的时间戳来自发送端主机，需先确认各主机时钟同步状况。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌