| 加固项 | 审计规则管理 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 中 |
| 基线 | 规则可见、可解释、有来源 |
状态与临时规则
状态与临时规则
auditctl -s # enabled / backlog / lost
auditctl -l # 当前生效规则
auditctl -w /etc/ssh/sshd_config -p wa -k sshd_config # 临时加一条
auditctl -W /etc/ssh/sshd_config -p wa -k sshd_config # 删除该条规则
auditctl -D # 清空全部规则（调试用，慎）auditctl 直接加的规则重启即丢：持久化必须写 /etc/audit/rules.d/*.rules 再 augenrules --load。