Linux 取证135 条

auditd 关键规则配置与加载

规则决定哪些系统调用与文件被记录：命令执行、敏感文件写入与权限拒绝是溯源常用三条主线，规则持久化在 /etc/audit/rules.d/。

目录	/etc/audit/rules.d/*.rules
加载	augenrules --load 或 systemctl restart auditd

常用规则

-a always,exit -F arch=b64 -S execve -k exec
-w /etc/passwd -p wa -k identity
-w /etc/sudoers -p wa -k privilege

规则改动会改变日志内容，时间线跨越改动点的部分要分开评估。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌