| 加固项 | 审计配置完整性 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 中 |
| 基线 | 审计配置不可篡改 |
固化与核查
固化与核查
cat >> /etc/audit/rules.d/99-finalize.rules << 'EOF'
-e 2
EOF
augenrules --load
auditctl -s | grep enabled # enabled=2 表示已固化
auditctl -w /tmp/x -p wa -k test # 预期报 Operation not permitted固化后想改规则必须重启系统：重大变更窗口前先确认规则文件最终定稿，再固化。