auditd通过监控socket、connect、bind、accept等系统调用间接捕获网络连接源头，记录用户、进程、时间及目标地址端口等完整上下文，需配置arch=b64/b32双架构规则并用ausearch溯源。
auditd 本身不直接记录“网络连接建立”这类应用层行为（比如谁连上了哪个端口），但它能通过监控关键系统调用，间接、精准地捕获绝大多数网络连接动作的源头——尤其是 socket()、connect()、bind() 和 accept() 这四类核心系统调用。只要进程调用了这些函数，auditd 就能记下：哪个用户、哪个进程、在什么时间、试图连接/监听哪个地址和端口。
真正实用的审计不是看“有没有连接”，而是回答：“谁，什么时候，用什么程序，连到了哪里？”
监控网络连接的关键系统调用规则
要捕获主动出站连接（如 curl、ssh、wget）和被动监听（如 nginx、sshd 启动监听），需对以下系统调用加规则：
-
socket：创建套接字（所有网络通信起点） -
connect：发起 TCP/UDP 连接（最常用于追踪外连行为） -
bind：绑定本地端口（识别服务监听行为） -
accept：接受入站连接（配合 bind，确认服务已响应）
在 /etc/audit/rules.d/network.rules 中添加：
# 监控所有 socket 创建（含协议族） -a always,exit -F arch=b64 -S socket -k network_socket -a always,exit -F arch=b32 -S socket -k network_socket # 监控 connect 调用（重点抓外连） -a always,exit -F arch=b64 -S connect -k network_connect -a always,exit -F arch=b32 -S connect -k network_connect # 监控 bind（识别监听端口） -a always,exit -F arch=b64 -S bind -k network_bind -a always,exit -F arch=b32 -S bind -k network_bind # 监控 accept（确认服务已接收连接） -a always,exit -F arch=b64 -S accept -k network_accept -a always,exit -F arch=b32 -S accept -k network_accept
⚠️ 注意：必须同时指定
arch=b64和arch=b32，否则在混合环境（如带 32 位兼容库的 x86_64 系统）会漏掉部分调用。
保存后执行：
sudo augenrules --load
验证是否加载成功：
sudo auditctl -l | grep network
如何查到“谁连了外网某 IP”？
假设你怀疑某个进程连接了 192.0.2.100:443，可用 ausearch 结合 -sv（显示系统调用参数）提取原始地址信息：
# 查最近 1 小时内所有 connect 行为
sudo ausearch -k network_connect -m connect -ts recent --raw | aureport -f -i
# 或按目标 IP 过滤（需先解析原始日志）
sudo ausearch -k network_connect -m connect --raw | \
awk '/^type=SYSCALL/ {addr=$18; if(addr ~ /a0000000|a0000001/) print $0}' | \
aureport -f -i
更可靠的做法是用 ausearch + ausprintf（如果已安装）或直接解析十六进制地址：
-
connect的第 5 个参数（a2）是 sockaddr 结构体指针，实际目标地址藏在a3（地址长度）和内存数据中； - 生产环境中建议搭配
auditd日志转发至 ELK 或 Grafana Loki，并用jq+ 自定义解析脚本还原 IP:Port。
简单快速验证方式（手动触发测试）：
# 在另一终端运行 nc -zv 192.0.2.100 443 # 立即查日志 sudo ausearch -k network_connect -m connect -ts recent -i
你会看到类似输出：
type=SYSCALL msg=audit(1718132456.123:4567): arch=c000003e syscall=42 success=yes ... comm="nc" exe="/usr/bin/nc.openbsd" key="network_connect" ...
再用 ausearch --input-logs | aureport -f -i 可还原出目标地址。
实战技巧：缩小范围，避免日志爆炸
全量监控 connect 会产生海量日志。生产环境建议结合过滤条件：
-
只监指定用户（如非 root 用户的外连）：
-a always,exit -F arch=b64 -F uid!=0 -S connect -k user_outbound
-
只监特定端口范围（如非标准端口 1024–65535）：
-a always,exit -F arch=b64 -S connect -F a2&0xffff0000=0x00000000 -k high_port_connect
（注：
a2是 sockaddr 指针，真实端口需从后续socketcall数据解析；更稳妥做法是事后用aureport -f -i提取并筛选） -
排除已知可信进程（如 systemd、dbus）：
-a always,exit -F arch=b64 -F comm!="systemd" -F comm!="dbus-daemon" -S connect -k suspicious_connect
补充：为什么不用 iptables 或 ss 替代？
-
iptablesLOG target 只能记录包头（无进程/用户上下文）； -
ss -tulnp是快照，无法追溯历史连接； -
auditd提供的是带 UID、PID、命令名、时间戳、系统调用参数的完整溯源链，满足等保三级、ISO 27001 等合规要求。
它不是替代网络工具，而是给所有网络行为打上“身份标签”。
不复杂但容易忽略
