一、简介Linux审计系统提供了一种方式来跟踪系统上与安全相关的信息，根据预配置的规则，审计会生成日志条目，来尽可能多地记录系统上所发生的事件的相关信息。对于关键任务环境而言至关重要，可用来确定安全策略的违反者及其所执行的操作，便于在发生网络入侵等安全事件时，能够为追踪溯源

审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；开启审核策略，若日后系统出现故障、安全事故则可以查看系统日志文件，排除故障、追查入侵者的信息等。查看rsyslog与auditd服务是否开启应保护审计记录，避免受到未预期的删除、修改或覆盖等。防止重要日志信息

什么是auditsyslog记录的信息有限，主要目的是软件调试，跟踪和打印软件的运行状态，而audit的目的则不同，它是linux安全体系的重要组成部分，是一种“被动”的防御体系。在内核里有内核审计模块，记录系统中的各种动作和事件，比如系统调用，文件修改，执行的程序，系统登入登出和记录所有系统中所

在Linux中进行日志审计主要是为了记录、监控和分析系统活动，以确保安全合规、故障排查和性能优化。以下是进行日志审计的一些关键步骤和工具：1.配置auditd审计系统安装与启动:确保auditd服务已经安装并正在运行。auditd是Linux系统自带的审计子系统，用于收集安全相关的事件日志

在Linux系统中，日志审计是确保系统安全性的重要部分，它可以帮助系统管理员监控和记录系统中发生的各种事件。以下是进行日志审计的步骤和一些常用的工具：1.启用系统审计Linux系统中的审计系统通常由auditd守护进程提供。首先，确保auditd已经安装并启动：sudoapt-getinstallauditd

[root@7~]#systemctlstopauditd.serviceFailedtostopauditd.service:Operationrefused,unitauditd.servicemayberequestedbydependencyonly(itisconfiguredtorefusemanualstart/stop).Seesystemlogsand'systemctlstatusauditd.service&#

这几天遇到基于海光服务器的银河麒麟V10SP2版本操作系统出现内存无故增长问题。排查发现auditd服务，占用了大量内存。我的环境是银河麒麟V10SP2524，audit版本audit-3.0-5.se.06==5037==HEAPSUMMARY:==5037==inuseatexit:3,022bytesin210blocks==5037==to

1、安装一般centos会默认安装，可直接使用，没安装可以yum安装一下yuminstallaudit2、启动方式：systemctlstartauditd或serviceauditd.servicestart如果启动失败了，audit看一下状态systemctlstatusauditd可能是没装audit，可以查一下yumlistinstalled|grepaudit或