auditd 是等保2.0“安全审计”要求的核心支撑组件，不直接生成合规报告，需基于其日志经筛选、聚合后人工或通过工具编制；须启用加固配置、添加关键审计规则、用aureport生成结构化摘要，并围绕控制点组织证据链。
auditd 本身不直接生成“等保合规专项审计报告”，它只负责采集、记录底层系统审计事件；合规报告需基于 auditd 日志（/var/log/audit/audit.log 或通过 aureport 提取的数据）进行筛选、聚合、归类后人工编写或由第三方工具生成。但 auditd 是满足等保2.0中“安全审计”要求（如 GB/T 22239—2019 第8.1.4条）的核心支撑组件。
一、启用并加固 auditd 基础配置
确保 auditd 持续运行且日志不可篡改，是等保审计的前提：
- 确认服务已启用：
systemctl enable --now auditd - 修改
/etc/audit/auditd.conf：设置max_log_file = 50（MB）、num_logs = 10（轮转数）、space_left_action = email、action_mail_acct = root、admin_space_left_action = halt（关键项，防日志写满导致审计中断） - 启用日志校验（可选但推荐）：在
auditd.conf中设log_file = /var/log/audit/audit.log并配合auditctl -e 2锁定规则（需在所有规则加载后执行，防止运行时篡改）
二、按等保要求配置关键审计规则
等保2.0三级系统重点关注身份鉴别、访问控制、安全事件、特权操作等。需使用 auditctl 或持久化规则文件（/etc/audit/rules.d/zzz-compliance.rules）添加以下典型规则：
-
用户登录与身份鉴别：
-w /var/log/lastlog -p wa -k logins-w /var/run/faillock/ -p wa -k authfail-a always,exit -F arch=b64 -S execve -F uid!=0 -k user_commands（记录普通用户命令执行） -
特权操作与敏感文件访问：
-w /etc/passwd -p wa -k identity-w /etc/shadow -p wa -k identity-w /etc/sudoers -p wa -k sudo_config-a always,exit -F arch=b64 -S setuid,setgid,setreuid,setregid,setresuid,setresgid -k priv_esc -
系统配置变更：
-w /etc/ssh/sshd_config -p wa -k sshd_config-w /etc/pam.d/ -p wa -k pam_config-a always,exit -F arch=b64 -S mount,umount -k mount_events
规则生效后执行 augenrules --load（若用 rules.d）或重启 auditd。
三、使用 aureport 生成结构化审计摘要
aureport 是 auditd 自带的报表工具，可快速提取符合等保检查点的原始数据，作为报告附件或底稿：
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
- 统计登录失败事件（对应等保“登录失败处理”）：
aureport -m -i --start today | grep "failed" - 列出所有特权命令执行（对应“权限分离”“最小权限”）：
aureport -f -i --key priv_esc --start this-week - 导出指定时间段内所有用户级命令（用于行为审计）：
aureport -f -i --key user_commands --start 7 days ago --format csv > user_cmds.csv - 生成每日汇总报告（含登录、账户、系统调用等）：
aureport -ts $(date -d 'yesterday' +%m/%d/%Y) -te $(date -d 'today' +%m/%d/%Y) --summary
注意：--key 参数依赖规则中定义的 key 字段，务必保持 key 命名语义清晰（如 logins、priv_esc），便于后续分类引用。
四、输出合规报告的关键动作
等保测评中，审计报告不是纯日志堆砌，而是围绕控制点展开的证据链说明：
- 明确对应条款：例如在报告中注明“本节日志覆盖等保2.0 8.1.4.2 条：应对重要的用户行为和重要安全事件进行审计”
-
提供时间范围+样本截图：截取
aureport输出的关键事件（如三次连续 root 登录失败、sudo 切换记录），标注时间、用户、终端、命令 -
说明日志保护机制：描述 auditd 配置中的日志轮转、空间告警、写保护（
auditctl -e 2）、远程转发（如配置audispd+ rsyslog 发送至 SIEM）等措施 -
附原始日志哈希（可选增强项）：对当日
audit.log做 SHA256 校验并存档，体现完整性保障
实际交付时，可将 aureport 输出整理为 Excel 表格（含字段：时间、事件类型、用户、主机、结果、key 标签），再配以文字说明，即构成基础合规审计报告正文。
不复杂但容易忽略：等保验收看的是“有没有审、能不能查、是否受控”，auditd 是地基，关键在规则精准、日志可用、证据可溯。
