| 加固项 | 日志集中留存 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 高 |
| 基线 | 审计日志实时外送 |
客户端配置
客户端配置
# /etc/audit/plugins.d/au-remote.conf
# active = yes
# direction = out
# path = /sbin/audisp-remote
# type = always
# /etc/audit/audisp-remote.conf
# remote_server = 10.0.0.10
# port = 60
service auditd restart
ausearch -m DAEMON_START -ts recent | head # 重启后确认守护动作等保强调“防删除、防覆盖”：只留本机日志等于把证据交给入侵者，远程集中是关键动作。