审计日志系统：针对嵌入式 Linux 的 Auditd 优化-linux运维-PHP中文网

嵌入式linux启用auditd需精简配置：日志改存/tmp/、限制大小与数量、用绝对值触发告警、禁用json格式；规则聚焦关键路径与二进制，加标签便于过滤；启动脚本动态加载规则并锁定；日志仅人工排查或压缩归档。

审计日志系统：针对嵌入式 linux 的 auditd 优化

嵌入式 Linux 环境下启用 auditd，不能照搬服务器配置——资源受限、存储有限、启动快、无交互终端是核心约束。优化目标很明确：保关键审计能力、压资源开销、防日志撑爆 Flash、规则即用即生效。

Linux Journey

当用户想学习Linux基础、命令行、文件系统等时，在LabEx查找并推荐免费的Linux Journey课程。

下载

精简 auditd.conf 配置
嵌入式系统通常无 swap、RAM 小、eMMC/SD 卡寿命敏感，需大幅收紧守护进程行为：

log_file = /var/log/audit.log → 改为内存文件系统路径（如 /tmp/audit.log），避免频繁写入 Flash；若必须落盘，确保挂载为 noatime,nodiratime,relatime
max_log_file = 2 → 设为 1～3 MB，防止单个日志失控占用空间
num_logs = 2 → 只保留当前 + 1 个轮转日志，总占用 ≤ 6 MB
space_left = 5M、admin_space_left = 1M → 用绝对值替代百分比，避免小容量设备误判
flush = INCREMENTAL、freq = 20 → 平衡写入延迟与数据丢失风险，避免 SYNC 或 DATA 模式拖慢 I/O
log_format = ENTRIES → 禁用 JSON 格式（默认为 RAW），减小日志体积和解析开销

规则策略：只监不录，按需加载
嵌入式场景不追求全量审计，而是“精准打点”：

避免 -w / 或 -a always,exit -S execve 这类泛化规则，它们会瞬间产生海量日志
优先监控三类高价值路径：
- /etc/passwd、/etc/shadow、/etc/group（用户权限变更）
- /etc/init.d/、/lib/systemd/system/（服务启停篡改）
- /usr/bin/、/bin/ 中关键二进制（如 busybox、dropbear、udhcpc）的执行或修改
使用 -p xwa（执行+写+属性）而非 -p rwxa，减少读操作噪音
所有规则加 -k embedded_ 标签（如 -k embedded_sshd_start），便于后续 ausearch -i -k embedded_sshd_start 快速过滤

启动与持久化适配
嵌入式常使用 BusyBox init 或 OpenRC，而非 systemd：

在启动脚本（如 /etc/init.d/S50audit）中执行：

auditctl -e 0    # 允许规则动态修改（避免内核锁定）
auditctl -f       # 清空现有规则
auditctl -R /etc/audit/audit.rules
auditctl -e 1    # 锁定规则（防运行时篡改）

日志处理轻量化
不部署 aureport 或 audispd-plugins（内存与 CPU 负担大）：

日志仅用于事后人工排查，用 ausearch -i -ts recent 查最近事件即可
定期通过 crond 或启动脚本压缩归档（如 gzip /tmp/audit.log && rm /tmp/audit.log），或通过 netconsole 发送到远端日志服务器
若无网络，可设置 space_left_action = IGNORE + admin_space_left_action = SYSLOG，让系统在空间不足时仅发警告，不停止审计

不复杂但容易忽略。