| 加固项 | 命令执行审计 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 中 |
| 基线 | 关键目录执行有记录 |
按目录监控执行
按目录监控执行
-a always,exit -F arch=b64 -S execve -F dir=/usr/local/bin -k exec_local
-a always,exit -F arch=b32 -S execve -F dir=/usr/local/bin -k exec_local
-a always,exit -F arch=b64 -S execve -F dir=/tmp -k exec_tmp
auditctl -l | grep exec_
ausearch -k exec_tmp -ts recent | head -30execve 全系统铺开日志量巨大：只对关键目录或高权限会话开，并按盘量评估轮转。