auditctl规则不生效最常见原因是未用-w而误用-a，或路径写成软链接目标而非真实inode路径；需root权限、检查enabled状态、用-k设key、持久化须augenrules--load。
auditctl 添加规则后不生效，常见原因是什么
最常见的是规则没加 -w（watch）而是用了 -a（audit rule），或者路径写成了软链接目标而非实际路径。auditd 默认只监控路径的 inode 层级变更，软链接本身被读取时不会触发对目标文件的审计——必须明确指定目标文件的绝对路径。
另一个高频问题是权限：运行 auditctl 需要 root 权限，非 root 用户添加的规则会被静默忽略；同时，如果系统启用了 systemd 的 ProtectSystem=strict（如某些云镜像），/etc/audit/rules.d/ 下的规则可能被跳过加载。
- 用
ls -i /etc/shadow确认真实 inode 和路径，规则中必须写这个路径，不是/etc/passwd这类别名 - 添加后立即执行
auditctl -s | grep enabled，确认enabled是 1，且pid非 0 - 检查
ausearch -m CONFIG_CHANGE -ts recent，看是否有规则加载失败的日志
监控 /etc/shadow 的读写，应该用哪个 auditctl 命令
直接监听文件本身比监听进程更可靠，推荐用 -w + -p 组合。其中 -p rwxa 表示监控 read/write/execute/attribute-change 四种操作，但注意：x（执行）对 shadow 文件无意义，a（属性变更）会捕获 chmod/chown，通常需要保留。
真正关键的是 -k（key）参数——它不是可选标签，而是后续过滤日志的唯一高效手段。没有 key，你只能从海量 audit 日志里 grep 路径，极易漏掉或误判。
-
auditctl -w /etc/shadow -p rw -k shadow_access（常用精简版，读写即可） -
auditctl -w /etc/shadow -p rwa -k shadow_all（含属性变更，适合排查异常 chmod） - 不要加
-F arch=b64除非你确定只监控 64 位调用；混用 32/64 位系统时留空更稳妥
如何实时看到 /etc/shadow 被谁读取了
ausearch 是离线查，audispd 是后台分发，真正“实时”得靠 tail -f /var/log/audit/audit.log | aureport -f -i 这类组合。但更实用的是用 ausearch 加时间锚点：
-
ausearch -k shadow_access -m SYSCALL -i --start today | aureport -f -i查今日所有匹配 key 的文件访问 -
ausearch -k shadow_access -m SYSCALL -i --start 10 minutes ago | grep "comm="快速定位最近 10 分钟调用者命令名 - 注意
comm=字段显示的是触发 syscall 的程序名（如comm="cat"），但可能是 shell 调起的子进程，需结合ppid=追溯父进程
如果 ausearch 返回空，先确认 auditctl -l 能列出你的规则，并且 systemctl status auditd 显示 active (running)。
规则持久化到 reboot 后失效，怎么写进 rules.d
不能只改 /etc/audit/rules.d/*.rules 就完事。auditd 在启动时按字母序加载这些文件，但最终是否生效取决于 augenrules 是否重新生成二进制规则库。很多发行版（如 RHEL 8+/Ubuntu 20.04+）默认启用该机制，手动改文件后必须运行 augenrules --load。
- 在
/etc/audit/rules.d/10-shadow.rules中写入：-w /etc/shadow -p rw -k shadow_access - 执行
augenrules --load，它会合并所有.rules并写入/etc/audit/audit.rules - 验证：
systemctl restart auditd && auditctl -l | grep shadow，确保规则已载入 - 注意：Debian/Ubuntu 有些版本默认禁用
augenrules，此时需在/etc/default/grub中确认audit=1已加入内核参数
auditd 的规则加载逻辑比看起来更“惰性”：它不会自动重载磁盘上的 .rules 文件，也不会在 auditd 服务重启时自动调用 augenrules——这一步必须人工触发或通过 systemd unit 依赖显式声明。
