auditd是记录所有命令执行轨迹的唯一可靠手段，必须启用服务、配置双架构execve规则（-f arch=b64/b32 -s execve）、持久化保存至/etc/audit/rules.d/、加固日志防篡改，并配合shell联动syslog增强上下文。

要开启命令审计、记录所有操作轨迹，不能只靠 .bash_history 或简单配置。真正可靠的方式是启用内核级审计框架 auditd，并辅以必要加固措施，覆盖交互式、非交互式、sudo/su、cron、脚本调用等全部路径。

启用 auditd 并配置 execve 捕获规则
这是记录所有命令执行（含参数）的唯一可靠手段，因为所有程序启动最终都经过 execve() 系统调用。

• 确保服务已安装并运行：

  sudo apt install auditd -y   # Debian/Ubuntu  
  sudo yum install audit -y    # CentOS/RHEL  
  sudo systemctl enable --now auditd

• 启用参数记录（关键步骤，否则日志无命令行）：

  echo 1 | sudo tee /proc/sys/kernel/audit_backlog_limit  
  sudo auditctl -e 2  
  sudo auditctl -s | grep argv  # 应显示 argv=1

• 添加双架构规则（x86_64 必须同时加 b64 + b32）：

  sudo auditctl -a always,exit -F arch=b64 -S execve -k cmd_log  
  sudo auditctl -a always,exit -F arch=b32 -S execve -k cmd_log

• 持久化保存到 /etc/audit/rules.d/cmd.rules，然后重载：

  sudo augenrules --load

加固审计日志自身防篡改
避免攻击者清空或删除日志：

• 保护审计日志目录：

  

  HTML5主机托管服务公司网站模板

  HTML5主机托管服务公司网站模板是一款从事主机托管服务公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。

  下载

  sudo auditctl -w /var/log/audit/ -p wa -k audit_log

• 设置日志轮转与权限：
  编辑 /etc/audit/auditd.conf，确认：

  max_log_file = 50  
  num_logs = 10  
  flush = incremental  
  freq = 20  

补充用户级上下文增强可读性
auditd 记录了“谁执行了什么”，但缺少终端、工作目录、返回值等。可在全局 shell 配置中联动 syslog：

• 在 /etc/bash.bashrc 或 /etc/profile.d/audit-logger.sh 中添加：

  export HISTTIMEFORMAT="%Y-%m-%d %T "  
  export PROMPT_COMMAND='RETRN=$?; logger -p local6.info "$(whoami) [$$] $(history 1 | sed "s/^[ ]*[0-9]\+[ ]*//") [$RETRN]"'

• 配置 rsyslog 将 local6 日志转发至中央服务器（如 /etc/rsyslog.d/50-audit.conf）：

  local6.* @logger.example.com:514

验证与日常查询方法
别直接翻 audit.log，用专用工具提取结构化结果：

• 查某用户全部命令（含参数）：

  sudo ausearch -u username -m execve --raw | aureport -f -i

• 查某次登录会话（如 tty1）完整轨迹：

  sudo ausearch -ts recent -m event --session $(loginctl show-user username | grep Session | cut -d= -f2)

• 查含敏感关键词的命令（如 rm, passwd）：

  sudo ausearch -m execve | grep -i -E "(rm|passwd|chmod|chown)"

不复杂但容易忽略