临时加载规则
临时加载规则
auditctl -w /etc/passwd -p wa -k passwd_change
auditctl -w /etc/sudoers -p wa -k sudoers_change
auditctl -a always,exit -F arch=b64 -S unlink -S unlinkat -S rename -S renameat -k file_delete
auditctl -l # 查看当前规则持久化
持久化
cat > /etc/audit/rules.d/99-local.rules <<'EOF'
-w /etc/passwd -p wa -k passwd_change
-w /etc/sudoers -p wa -k sudoers_change
EOF
augenrules --load # 合并并加载
systemctl restart auditd # 部分环境需要重启生效-k 是检索键（key），后续 ausearch -k passwd_change 直接定位此类事件。