Linux auditctl命令：控制内核的审计系统。

Linux auditctl命令功能描述

使用auditctl命令可以对内核中的审计系统进行控制，可以用来获取audit状态和添加/删除audit规则。

Linux auditctl命令语法

auditctl [选项]

命令中各选项的含义如表所示。

在使用-a选项时可以使用的列表名称如表所示。

在使用-a选项时可以使用的动作如表所示。

在使用-F选项时可以使用的有效的字段名如表所示。

Linux auditctl命令示例

查看audit运行状态

[root@rhel ～]# auditctl -s
AUDIT_STATUS: enabled=1 flag=0 pid=2695 rate_limit=0 backlog_limit=320 lost=0 backlog=0
//auditd进程的运行状态是正常的

[root@rhel ～]# auditctl -l
No rules

[root@rhel ～]# auditctl -a entry, always -S open -F uid=500
Warning - entry rules deprecated, changing to exit rule]
WARNING -32/64 bit syscall mismatch, you should specify an arch
[root@rhel ～]# auditctl -l
LIST_RULES: exit, always uid=500 (0x1f4) syscall=open

[root@rhel ～]# auditctl -d entry, always -S open -F uid=500
Warning - entry rules deprecated, changing to exit rule

[root@rhel ～]# auditctl -a exclude, always -F msgtype=USER_LOGIN

[root@rhel ～]# auditctl -w /etc/passwd -p rwax

[root@rhel ～]# auditctl -a exit, always -S open -F auid=510

[root@rhel ～]# auditctl -a exit, always -S open -F success! =0

[root@rhel ～]# auditctl -a exit, always -S all -F pid=1005

删除所有的audit规则

[root@rhel ～]# auditctl -D

JZTXT

Linux auditctl命令

Linux auditctl命令：控制内核的审计系统。

Linux auditctl命令 功能描述

Linux auditctl命令 语法

Linux auditctl命令 示例

Linux auditctl命令功能描述

Linux auditctl命令语法

Linux auditctl命令示例