要监控linux用户对敏感文件的写入行为，核心是用auditd在内核层精准捕获write系统调用，需确保auditd服务active(running)、规则以.rules结尾并执行augenrules--load加载、使用-p w参数只监控真实写入动作、路径须为真实inode、通过ausearch-k key快速定位uid/euid/comm/exe/cwd等上下文。

要监控 Linux 用户对敏感文件的写入行为，核心不是泛泛开启所有审计，而是用 auditd 在内核层精准捕获真实 write 系统调用，并绑定具体用户、路径和意图。关键在于规则写得准、路径认得清、日志查得快。

确认 auditd 已真正就绪

服务没跑起来，规则全是空转：

• 运行 systemctl status auditd，必须显示 active (running)
• 执行 auditctl -s | grep enabled，输出中 enabled 1 才表示内核审计已启用
• 检查 /etc/audit/rules.d/ 是否存在且可写，/var/log/audit/audit.log 是否可读
• 若未安装：RHEL/CentOS 用 yum install audit，Ubuntu/Debian 用 apt-get install auditd，装完立即 systemctl enable --now auditd

只监“写”，不盯“读”或“属性”

写入篡改才是安全事件的核心，读取和 chmod 之类操作高频且干扰大：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 用 -p w —— 只捕获 write、openat（带 O_WRONLY）、truncate 等真实内容修改动作
• 避免 -p r：像 getpwent() 这类库调用会频繁读 /etc/passwd，加 r 会导致日志爆炸
• 慎用 -p a：除非明确需要追踪 chown 或隐藏文件行为，否则先聚焦“内容被改”本身
• 路径必须是真实 inode：执行 ls -i /etc/shadow，规则里写这个实际路径，别写软链接名（如 /etc/shadow-）

规则必须持久化，重启不丢

临时加的 auditctl -w 规则在重启或 systemctl restart auditd 后全失效：

• 把规则写进 /etc/audit/rules.d/10-write.rules，例如：
  -w /etc/shadow -p w -k shadow_write
• 文件名必须以 .rules 结尾，每行一条规则，支持 # 注释
• 执行 sudo augenrules --load（RHEL/CentOS）或 sudo systemctl restart auditd（Debian/Ubuntu）加载
• 验证是否生效：sudo auditctl -l | grep shadow_write 能看到即成功

快速定位谁、何时、用什么写了文件

日志里自带完整上下文，不用额外解析：

• 查最近写入：sudo ausearch -k shadow_write -m SYSCALL -i --start 10 minutes ago
• 提取关键字段：sudo ausearch -k shadow_write -m SYSCALL -i | grep -E "(uid=|euid=|comm=|exe=|cwd=)"
• uid= 是实际执行用户，euid= 是有效身份（判断是否提权），comm= 是命令名（如 comm="vi"），exe= 是完整路径，cwd= 是操作时所在目录
• 如果 comm="(unknown)"，说明进程已退出，需结合 exe 和父进程 ppid 向上追溯