启用 auditd 的 execve 审计规则

目标

主机疑似被入侵，但没有记录运行过哪些命令，只有可被轻易修改的 shell 历史。本配方用 auditctl 添加带 key 的 execve 审计规则并持久化到 rules.d，使进程启动被记录且重启后仍有效，再通过 ausearch 检索近期执行；同时提醒需控制日志量并转发到集中收集端。

步骤要点

1. 用 auditctl 添加带 key 的 execve 审计规则。
2. 把规则持久化到 /etc/audit/rules.d 并运行 augenrules。
3. 用 ausearch 按 key 检索近期命令执行。
4. 控制日志量并转发到集中收集端。

sudo auditctl -a always,exit -F arch=b64 -S execve -k exec_audit
echo '-a always,exit -F arch=b64 -S execve -k exec_audit' | sudo tee /etc/audit/rules.d/exec.rules

排错提示

• 全量记录会迅速占满磁盘，需限定范围。
• 未持久化的规则重启后丢失。
• 审计日志可信度取决于其保护。

适用边界

• 高日志量需容量规划。
• 默认不记录文件内容。