Linux 取证135 条

auditd 运行状态与丢事件核查

auditd 的可靠性依赖状态检查：enabled 取值、丢事件计数与日志容量配置决定记录是否完整，lost 大于零时必须写进报告。

命令	auditctl -s / auditctl -l
配置	/etc/audit/auditd.conf 的 max_log_file、num_logs

状态核查

auditctl -s
systemctl is-active auditd
awk -F= '/^(max_log_file|num_logs|space_left_action)/ {print $0}' /etc/audit/auditd.conf

lost 计数非零表示内核队列溢出，审计记录存在缺口，解读时间线时要标注。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌