把证据搬出被审计的主机
留在本机的日志随时可能被入侵者删除，等保明确要求“防删除、防覆盖”，因此关键证据必须离开被审计主机：audisp-remote 插件把审计事件实时转发到远程收集器，即使主机被拿下、本地日志被清空，远端记录依然完整。配置分两处：plugins.d/au-remote.conf 负责激活插件与方向，audisp-remote.conf 负责远端地址与端口（默认 60）。接收端要单独搭建，只配客户端等于白发。
基本信息
| 加固项 | 审计日志实时集中留存 |
|---|---|
| 适用平台 | Linux（auditd 的 audisp-remote 插件） |
| 权限要求 | root |
| 达标判据 | 本机事件实时出现在远端收集器，链路中断有告警 |
| 默认远端端口 | 60 |
典型使用场景
- 等保三级“日志保护”条款要求的集中留存
- 核心服务器与堡垒机的操作记录异地留存
- 事件响应时从远端取证，避免依赖已被清理的本地日志
- 多台主机的审计日志统一汇聚到日志平台
- 构建跨机器的主机安全事件时间线
客户端配置
客户端配置
# /etc/audit/plugins.d/au-remote.conf
# active = yes
# direction = out
# path = /sbin/audisp-remote
# type = always
# /etc/audit/audisp-remote.conf
# remote_server = 10.0.0.10
# port = 60
service auditd restart # 部分发行版需用 service 命令，systemctl 可能被策略阻止
ausearch -m DAEMON_START -ts recent | head -5 # 重启后确认守护动作复核链路确实在工作
复核链路确实在工作
grep -E 'remote_server|port' /etc/audit/audisp-remote.conf
ausearch -m USER_LOGIN --start recent | head -3 # 先制造一条可识别的登录事件
# 再到接收端执行同样查询，确认同一条事件确实到达
tcpdump -i any -n port 60 -c 5 2>/dev/null # 抓包确认有数据流出（自有环境内进行）配置项与含义
| 配置项 | 位置 | 含义 |
|---|---|---|
| active | au-remote.conf | 是否启用插件，必须为 yes |
| direction | au-remote.conf | out 表示向外发送 |
| remote_server | audisp-remote.conf | 接收端地址，建议走内网或专线 |
| port | audisp-remote.conf | 接收端端口，默认 60 |
| mode | audisp-remote.conf | 投递模式，影响发送策略与顺序 |
| queue_depth | audisp-remote.conf | 本地队列深度，决定链路中断时的缓冲能力 |
| 接收端 | 独立主机 | 需另行搭建（auditd 远端接收或专用收集器） |
链路静默中断是最需要防范的失效方式：你以为在集中留存，实际数据早已发不出去。上线时必须配监控——对接收端的事件到达量设定阈值告警，或定期在接收端查询最近事件时间。只验一次通不通就认为长期可用，是这类方案最常见的漏洞。
远端留存不能替代本地日志：审计事件先写本地再由插件转发，本地链路本身出问题（磁盘满、auditd 未运行）会让两端一起失去记录。因此本机的审计状态核查与远程转发要同时做，报告里分别给出结论，避免把集中留存当成万能保险。