11.6. 使用 auditctl 来定义和执行审计规则

文件系统规则示例

1. 要定义一条规则，记录对 /etc/passwd 文件的所有写访问和每个属性的修改：

   # auditctl -w /etc/passwd -p wa -k passwd_changes

2. 要定义一条规则，记录对 /etc/selinux/ 目录中所有文件的写访问和每个属性的修改：

   # auditctl -w /etc/selinux/ -p wa -k selinux_changes

系统调用规则示例

1. 要定义一条规则，当程序每次使用 adjtimex 或 settimeofday 系统调用时就创建一条日志，系统使用 64 位构架：

   # auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time_change

2. 定义一条规则，在 ID 为 1000 或以上的系统用户每次删除或重命名文件时创建一条日志：

   # auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete

   请注意，-F auid!=4294967295 选项用于排除未设置登录 UID 的用户。