48 是什么
48 号端口在注册表中的名称容易引起误会：它登记的是数字设备时代的审计守护进程，与 Linux 上的审计守护进程同名但完全不同。后者通过内核机制收集审计事件，不监听任何网络端口，因此两者除了名字之外没有关系。
这个区别在核查中很关键
审计是否启用，要看服务状态、规则加载与日志轮转，而不是看监听列表。48 端口若真的出现在监听列表中，应按历史注册项处置：先确认进程归属，再判断是否需要限制或关闭。
基本信息
| 服务 | 历史注册的审计守护进程 |
|---|---|
| 协议 | TCP 与 UDP 48 |
| 登记状态 | 历史注册 |
| 与现代审计的关系 | 无，仅名称相同 |
| 安全等级 | 出现时按未知服务流程核实 |
典型使用场景
- 安全核查时正确判断审计功能是否启用
- 排查端口占用时避免把两者混为一谈
- 整理历史注册端口资料时作为对照条目
- 资产清点时确认该端口的真实归属进程
- 审计配置检查时聚焦服务状态与日志轮转
Linux 侧审计核查
Linux 侧审计核查
systemctl status auditd | head -5 # 服务状态
auditctl -s | head -8 # 规则数量与积压情况
ausearch -m EXECVE -ts recent | head -20 # 最近的命令执行事件
ss -lntup | grep ':48 ' # 确认是否有进程占用该端口审计维护要点
审计维护要点
# 规则文件通常位于 /etc/audit/rules.d/ 下
# 规则变更需要记录并重新加载后才生效
# 日志轮转配置决定留存时长，需满足合规要求的保存期限两个同名对象
| 对象 | 属性 | 核查方式 |
|---|---|---|
| 48 端口 | 历史注册的服务名 | 查看监听进程与系统年代 |
| Linux 审计服务 | 内核审计事件的用户态组件 | 查看服务状态与规则加载 |
| 审计事件 | 系统调用与命令执行记录 | 通过审计查询工具检索 |
判断审计是否真正生效有三项：规则是否加载、事件是否产生、日志是否在正常轮转与留存。只看到服务处于运行状态，并不足以保证审计链路完整。