直接监控/var/log的物理写入行为是防止日志篡改或删除的关键手段，auditd通过捕获open、write、unlink、rename、truncate等底层系统调用，精准覆盖清空、覆盖、重命名、删除等攻击手法，需配置-w /var/log/ -p wa及-a always,exit -f arch=b64 -s unlink,unlinkat,rename,renameat,truncate,ftruncate规则并持久化。
明确监控目标：路径、权限与关键系统调用
/var/log 是一个目录，其下包含大量日志文件（如 /var/log/audit/audit.log、/var/log/messages、/var/log/secure 等）。auditd 的 `-w` 规则基于 inode，因此必须监控该路径本身及其子树的**写入和属性变更**行为：
- -p wa 是核心：w 表示写入（含 `open(O_WRONLY|O_RDWR)`、`write`、`pwrite`、`truncate`），a 表示属性变更（含 `chmod`、`chown`、`utimes`），这两类操作足以覆盖清空、覆盖、重命名、删除等手法
- 必须包含 rename 和 unlink：攻击者常用 `mv /tmp/empty.log /var/log/messages` 或 `rm /var/log/audit.log`，这些不涉及直接 write，但会触发 rename/unlink 系统调用；仅靠 `-p w` 无法捕获
- 不能只依赖 `-w /var/log/ -p wa`：该规则对目录生效，能捕获在该目录下创建/删除文件，但对已存在文件的内容写入（如 `echo "x" >> /var/log/messages`）也有效——因为内核审计的是 open+write 调用链，只要文件路径落在监控路径下即触发
配置防绕过、可落地的审计规则
避免宽泛规则导致日志爆炸或被绕过。推荐分层设置，兼顾覆盖性与实用性：
- 监控主日志目录及其所有子目录：sudo auditctl -w /var/log/ -p wa -k varlog_write
- 额外捕获关键系统调用（绕过文件级监控的提权清日志行为）：sudo auditctl -a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat,truncate,ftruncate -k varlog_syscall
- 若系统启用了 logrotate 或 rsyslog 写日志，这些合法操作也会被记录——这是预期行为，后续靠 key 过滤和日志分析区分即可
确保规则持久化且 auditd 正常运行
临时规则在重启后失效，必须写入规则文件并重载：
- 新建持久化规则文件：echo "-w /var/log/ -p wa -k varlog_write" | sudo tee /etc/audit/rules.d/15-varlog.rules
- 补全系统调用规则行（同上文件或另建）：echo "-a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat,truncate,ftruncate -k varlog_syscall" | sudo tee -a /etc/audit/rules.d/15-varlog.rules
- 重载全部规则：sudo augenrules --load
- 验证是否生效：sudo auditctl -l | grep varlog 应看到对应规则；同时确认 sudo systemctl status auditd 为 active (running)，且 sudo auditctl -s | grep enabled 显示 enabled 为 1
实时查看与定位可疑写入
有了 `-k` 标签，就能高效过滤日志，无需翻遍整个 audit.log：
- 查看最近 5 分钟所有匹配 varlog_write 的操作：ausearch -k varlog_write --start 5 minutes ago -m SYSCALL -i | aureport -f -i
- 快速提取调用命令名（如 comm="rm"、comm="sh"）：ausearch -k varlog_write -m SYSCALL -i --start today | grep "comm="
- 若发现异常，结合 pid 和 ppid 追溯父进程链：ausearch -p
-i - 注意：`comm=` 字段显示的是执行 syscall 的程序名，但可能是 shell 子进程；真实操作者需看 `exe=`（执行文件路径）和 `cwd=`（当前工作目录）
