linux系统审计通过auditd服务记录关键操作，保障安全并满足合规要求；需清空旧策略后加载监控/etc/passwd、/var/log/auth.log等核心路径的持久化规则，并设权限700防篡改，结合lynis等工具定期基线比对与fail2ban联动实现持续闭环。
操作系统自带的自动加固与审计能力，不是附加功能，而是内建的安全基础设施。关键在于激活、配置和持续验证——让系统自己“盯住自己”，而不是等出事再翻日志。
启用并规范系统级审计策略
审计不是开个开关就完事，得覆盖关键行为且不干扰业务：
- Linux用auditd统一管控：加载规则前先清空旧策略（
auditctl -D），再写入核心路径监控，例如：auditctl -w /etc/passwd -p wa -k etc_passwdauditctl -w /var/log/auth.log -p wa -k auth_log
规则存入/etc/audit/rules.d/目录下，确保重启生效 - Windows必须同时勾选“成功”与“失败”：在
secpol.msc中逐项开启“审核登录事件”“审核账户管理”“审核特权使用”等8类策略，避免只记录成功登录而漏掉暴力破解尝试 - 审计日志本身要防篡改：Linux对
/var/log/audit/设chown root:root+chmod 700；Windows将安全日志最大大小设为16GB以上，并启用“日志满时覆盖旧事件”而非“不覆盖”（否则日志会停写）
把加固动作变成可验证的基线检查
自动加固不是一次配置终身有效，得定期比对是否偏离预期：
- 用
lynis audit system（Linux）或Get-OSBaseline（PowerShell模块）生成当前状态快照，与上线前基线对比，重点看SSH配置、密码策略、SUID文件、cron任务等高危项 - 定时扫描特权账户：Linux执行
awk -F: '$3==0 || $3 ，发现非root的UID≤999账户立即核查；Windows用<code>Get-LocalUser | Where-Object {$_.SID -like "S-1-5-21-*-500"}确认仅存在一个Administrator - 服务最小化需闭环验证：禁用
bluetooth.service后，运行systemctl is-enabled bluetooth.service返回disabled才算生效，不能只信systemctl stop
让日志真正支撑异常溯源
日志堆得多没用，得能快速定位时间线、操作者、执行路径：
- 认证类日志优先分析：
/var/log/secure（CentOS）或/var/log/auth.log（Ubuntu）里搜Failed password看攻击源IP，再用lastb -i查最近100次失败登录详情 - 进程行为交叉验证：发现可疑CPU占用，不用只看
top，立刻跑ps auxf --sort=-%cpu | head -10+lsof -iPn -p [PID]查网络连接，再用cat /proc/[PID]/cmdline | tr '\0' ' '还原真实命令行 - 定时任务必须带日志输出：每个crontab条目末尾加
>>/var/log/cron-task.log 2>&1，并用chattr +a /var/log/cron-task.log锁定追加权限，防止被覆盖
结合自动化工具实现持续闭环
人工巡检跟不上变化节奏，得靠脚本+告警驱动响应：
- 用
fail2ban联动auditd：当audit日志中出现连续5次failed login，自动封禁对应IP并写入iptables - NGINX访问日志接入实时分析：用
goaccess或awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -10快速识别高频恶意IP - 关键配置变更自动告警：监控
/etc/ssh/sshd_config、/etc/sudoers等文件mtime变化，一旦修改立即邮件通知管理员并记录操作账号
