| 加固项 | 日志留存策略 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 中 |
| 基线 | 容量与动作配置合理 |
关键配置
关键配置
grep -E 'max_log_file|num_logs|max_log_file_action|space_left|disk_full_action' /etc/audit/auditd.conf
# 参考值：
# max_log_file = 50 # 单文件50MB
# num_logs = 10 # 保留10份
# max_log_file_action = ROTATE
# space_left = 200 # 剩余200MB告警
# disk_full_action = SUSPEND容量核算
容量核算
du -sh /var/log/audit/
df -h /var/log | tail -1
awk -F= '/max_log_file|num_logs/ {gsub(/ /,"",$1); print $1,$2}' /etc/audit/auditd.conf留存量要覆盖等保要求的留存期：单机容量不够就上远程转发，而不是把轮转份数偷偷改小。