| 加固项 | 审计服务 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 高 |
| 基线 | auditd 运行且开机自启，内核审计 enabled=1 |
安装与状态核查
安装与状态核查
rpm -q audit || yum install -y audit # RHEL/CentOS
apt list --installed 2>/dev/null | grep -i auditd # Debian/Ubuntu
systemctl enable --now auditd
systemctl status auditd --no-pager | head -12
auditctl -s # 关注 enabled=1 且 pid 非 0容器内没有独立内核审计子系统：auditd 无法工作属正常限制，容器场景审计要落在宿主机或改用其他方案。