auditctl是linux审计系统动态加载临时规则的核心工具，规则驻留内存、重启失效，适用于调试、应急和验证；支持-w路径监控和-a系统调用捕获，需用augenrules固化为永久规则。
auditctl 是 Linux 审计系统中用于动态加载临时监控规则的核心命令，所有规则只驻留在内存中，系统重启即失效——这恰恰是它适合调试、应急和验证规则有效性的关键优势。
一、添加路径级监控（最常用）
用 -w 参数可快速对文件或目录设置“看门狗”式监控，适用于捕获敏感配置被篡改、关键文件被访问等行为。
监控
/etc/shadow的写入与属性变更（如chmod/chown）：sudo auditctl -w /etc/shadow -p wa -k shadow_mod监控整个
/root目录及其子项的读写执行（注意：-w不递归，必须用-a + -F dir）：sudo auditctl -a always,exit -F dir=/root -F perm=rwxa -k root_access监控某个命令二进制是否被执行（比监控进程更稳定）：
sudo auditctl -w /usr/bin/sudo -p x -k privileged_exec
✅
-p权限说明：r=读、w=写、x=执行、a=属性变更；可组合如wa、rwxa
✅-k后的标签名要简洁明确，后续用ausearch -k xxx可精准过滤日志
二、捕获系统调用行为（更灵活、更底层）
当目标不是固定路径，而是某类动作（如运行程序、绑定端口、删除文件），就得用 -a 搭配 -S（系统调用名）和 -F（过滤条件）。
记录所有普通用户（
auid ≥ 1000）执行程序的行为（64位系统）：sudo auditctl -a always,exit -F arch=b64 -S execve -F auid>=1000 -k user_exec监控所有对网络端口的
bind操作（含失败尝试）：sudo auditctl -a always,exit -F arch=b64 -S bind -k port_bind捕获所有对
/etc/passwd的open或openat调用（无论成功失败）：sudo auditctl -a always,exit -F path=/etc/passwd -S open,openat -k passwd_open
⚠️ 架构必须显式指定：64位系统加
-F arch=b64，否则规则可能不触发；如需兼容32位程序，额外加一条-F arch=b32规则
⚠️-F path=和-w效果类似，但-w更轻量、自动处理 inode 变化；-F path=更适合配合-S使用
三、查看与确认规则是否生效
加完规则不能靠猜，必须实时验证：
列出当前所有已加载的规则：
sudo auditctl -l
→ 若为空，说明没加成功，或auditd服务未运行查看审计子系统整体状态（判断是否真正在工作）：
sudo auditctl -s
→ 关键看三项：enabled=1（已启用）、pid=非零值（守护进程在跑）、failure=1 or 2（失败策略正常）按关键词快速检查某条规则是否存在：
sudo auditctl -l | grep "shadow_mod"
四、临时清理与调整规则
测试过程中常需删减或重置：
删除某一条路径监控（对应
-w）：sudo auditctl -W /etc/shadow（注意是大写W）删除某条带
-k标签的系统调用规则（需完整匹配类型）：sudo auditctl -d always,exit -k shadow_mod一键清空所有规则（仅限测试环境）：
sudo auditctl -D临时禁用/启用审计功能（慎用）：
sudo auditctl -e 0（禁用）｜sudo auditctl -e 1（启用）｜sudo auditctl -e 2（启用并锁定，禁止后续修改）
规则加得准，日志才抓得住。临时规则不是“凑合用”，而是生产部署前必不可少的验证环节。真正上线前，记得把验证通过的规则写入 /etc/audit/rules.d/xxx.rules，再执行 sudo augenrules --load 固化。
