| 加固项 | MAC 策略审计 |
|---|---|
| 适用平台 | Linux（含 SELinux/AppArmor） |
| 风险等级 | 中 |
| 基线 | 策略变更可追溯 |
规则
规则
-w /etc/selinux/ -p wa -k mac_policy
-w /sys/fs/selinux/ -p wa -k mac_policy # SELinux 运行时状态
-w /etc/apparmor.d/ -p wa -k mac_policy # AppArmor
-a always,exit -F arch=b64 -S setxattr,removexattr,fsetxattr,fremovexattr -F auid>=1000 -F auid!=4294967295 -k mac_policySELinux 被 setenforce 0 关停不会改文件：每季度核查 getenforce 与策略装载状态，不能只看文件监控。