【操作系统】安全审计-audit_linux audit，关于网络优化你必须要知道的重点

2.添加规则的文件

/etc/audit/rules.d/audit.rules

3.日志所在目录

/var/log/audit/

3.1应用配置文件

举例：

配置项解析，只列举了一部分

1.log_file：审计日志文件的完整路径；
2.log_format：写日志时使用的格式；
3.flush：多长时间向日志文件中写一次数据。（值可以是NONE、INCREMENTAL、DATA和SYNC之一。如果设置为NONE，则不需要做特殊努力来将数据刷新到日志文件中。如果设置为INCREMENTAL，则用freq选项的值确定多长时间发生一次向磁盘的刷新。如果设置为DATA，则审计数据和日志文件一直是同步的。如果设置为SYNC，则每次写到日志文件时，数据和元数据是同步的。）
4.freq：如果flush设置为INCREMETNAL，审计守护进程在写到日志文件中前 从内核中接收的记录数。
5.num_logs：max_log_file_action：如果没有设置num_logs值，它就默认为0，意味着从来不循环日志文件。设置为ROTATE时要保存的日志文件数目。必须是0~99之间的数。如果设置为小于2，则不会循环日志。如果递增了日志文件的数目，就可能有必要递增/etc/audit/audit.rules中的内核backlog设置值，以便留出日志循环的时间。
6.space_left：以兆字节表示的磁盘空间数量。当达到这个水平时，会采取space_left_action参数中的动作。
7.space_left_action：当磁盘空间量达到space_left中的值时，采取这个动作。有效值为IGNORE、SYSLOG、EMAIL、SUSPEND、SINGLE和 HALT。
7.1如果设置为IGNORE，则不采取动作。
7.2如果设置为SYSLOG，则向系统日志/var/log/messages写一条警告消息。
7.3如果设置为 EMAIL，则从action_mail_acct向这个地址发送一封电子邮件，并向/var/log/messages中写一条警告消息。
7.4如果设置为 SUSPEND，则不再向审计日志文件中写警告消息。
7.5如果设置为SINGLE，则系统将在单用户模式下。如果设置为SALT，则系统会关闭。
8.action_mail_acct：负责维护审计守护进程和日志的管理员的电子邮件地址。如果地址没有主机名，则假定主机名为本地地址，比如root。必须安装sendmail并配置为向指定电子邮件地址发送电子邮件。
9.admin_space_left：以兆字节表示的磁盘空间数量。这个值应小于space_left。如果达到这个水平，则会采取admin_space_left_ action所指定的动作。(用这个选项设置比space_left更多的主动性动作，以防万一space_left_action没有让管理员释放任何磁盘空间。)
10.admin_space_left_action：当自由磁盘空间量达到admin_space_left指定的值时，则采取动作。有效值为IGNORE、SYSLOG、EMAIL、SUSPEND、SINGLE和HALT。与这些值关联的动作与space_left_action中的相同。
11.disk_full_action：如果含有审计文件的分区已满，则采取这个动作。可能值为IGNORE、SYSLOG、SUSPEND、SINGLE和HALT。与这些值关联的动作与space_left _action中的相同。（提示：如果不循环审计日志文件，则含有/var/log/audit/的分区可能变满并引起系统错误。因此，建议让/var/log/audit/位于一个单独的专用分区。）
12.disk_error_action：如果在写审计