auditd 是零信任架构中不可或缺的审计底座，它以“谁、何时、对何资源、执行何操作”为监控核心，通过内核级监控保障日志不可绕过与擦除，并覆盖身份验证、权限变更、敏感资源访问三类事件，支持结构化输出、远程安全存储及与零信任组件闭环联动。
auditd 是零信任架构中不可或缺的审计底座。它不依赖网络位置或设备归属，只关注“谁、在何时、对什么资源、执行了什么操作”，天然契合零信任“永不信任、持续验证”的核心逻辑。它的内核级监控能力，让关键行为无法被用户层手段绕过或擦除，为身份验证结果、权限决策依据和行为异常判定提供可信赖的事实来源。
审计对象必须覆盖零信任三大支柱
零信任要求每一次访问都经过身份验证、权限校验与行为评估。auditd 的规则需对应支撑这三类动作：
- 身份验证事件：监控 PAM 模块调用（如 pam_authenticate）、SSH 登录成功/失败（execve 调用 sshd）、sudo 提权行为。这些日志是验证“访问主体是否可信”的原始证据。
- 权限变更操作：跟踪 /etc/sudoers、/etc/group、ACL 设置（setfacl）、SELinux 上下文修改（chcon）等。确保“最小权限”不是静态配置，而是可追溯的动态过程。
- 敏感资源访问：对 /etc/passwd、/etc/shadow、SSH 私钥目录（~/.ssh）、密钥管理服务（如 HashiCorp Vault 客户端调用）设置路径监控。一次非预期的读取，可能就是横向移动的起点。
规则设计要支持动态策略联动
零信任不是只记日志，而是让日志驱动响应。auditd 规则需输出结构化字段，便于与策略引擎对接：
- 使用
-F key=auth_login为登录事件打标，方便 SIEM 或 SOAR 工具快速过滤； - 对 execve 系统调用添加
-F arch=b64和-F a0=*bash*等条件，精准捕获可疑命令执行； - 结合 auditctl 的
-a always,exit和-S参数，监听 openat、connect、write 等关键系统调用，支撑实时行为建模。
日志存储与保护必须满足零信任基线
审计日志本身是高价值目标，一旦被篡改或删除，整个零信任链条就失去依据：
- 启用 auditd 的
log_file和max_log_file_action配置，自动轮转并压缩日志，防止磁盘打满导致记录中断； - 将日志同步至远程日志服务器（如 rsyslog + TLS），避免本地主机失陷后日志被清除；
- 对 audit.log 文件设置严格权限（
chmod 600）和不可修改属性（chattr +a），限制仅 auditd 进程可追加写入。
与零信任组件形成闭环验证
auditd 日志不能孤立存在，需嵌入整体零信任工作流：
- 当 AD 审计系统发现某账号密码被异常重置，应触发 auditd 查询该主机上是否同期出现 sshd 登录尝试；
- eBPF 实时检测到容器内异常外连行为，需回查 auditd 中对应进程的 execve 记录，确认命令来源是否合法；
- Xshell 会话中执行的 sudo 命令，其 auditd 日志应包含终端类型（tty）、用户 UID、命令完整参数，用于与 SSH CA 短期证书绑定验证。
