auditd审计
相关命令有： auditd, auditctl, ausearch, aureport
相关文件： /etc/audit/auditd.conf, /etc/audit/audit.rules, /var/log/audit/audit.log
主要有两种方法进行设置，一是直接使用命令auditctl, 二是在audit.rules里写跟踪监视规则
# auditctl -w /etc/passwd -p rwxa -k CFG_passwd
一般监视触发权限设为 - p wa就好， 额外的不必要的如rx， 会产生过多的审计记录
-k CFG_passwd, 设置审计规则的过滤器关键字，主要是用于ausearch -k key_string 好搜索，比如，有多个规则
去监视同一个文件或目录的时候，就可以根据-k key_string来过滤、唯一的定位要查看的规则产生的审计记录
-k key_string: ... typical use is for when you have several rules that together satisfy a security requirement
查看审计记录
可以直接查看/var/log/audit/audit.log
可以用命令 ausearch, 它 search audit records based on a certain option：
--event search based on event id
--comm ... command line name (comm=command)
-- exit ... syscall exit code
--file -f based on file name, this option is most commonly used.
# ausearch -f /etc/passwd的部分结果
----
time->Tue Oct 13 16:17:21 2015
type=PATH msg=audit(1444724241.720:1382): item=0 name="/etc/passwd" inode=16516438 dev=fd:00 mode=0100644 ouid=0 ogid=0 rdev=00:00
type=CWD msg=audit(1444724241.720:1382): cwd="/root/Desktop"
type=SYSCALL msg=audit(1444724241.720:1382): arch=40000003 syscall=5 success=yes exit=3 a0=138ef8 a1=80000 a2=1b6 a3=138eb5 items=1 ppid=8010 pid=27369 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=142 comm="vi" exe="/bin/vi" key=(null)
----
每节分几个部分的内容：
time： 审计时间
type=path : 被监视、被审计文件的路径
type=cwd : 表示发生审计事件时，用户所处的当前路径
type=syscall： 系统调用，是哪个命令触发的审计事件，用户用的是哪个命令，
上面显示中，comm="vi"表示使用的是vi命令去编辑的/etc/passwd文件，exe="/bin/vi"表示vi的路径
aureport
生成审计报表，根据选项生成相应方面的报表信息
aureport -c : 关于配置方面的审计报表信息
-f, -m, -u, -l等等