服务器记录所有用户docker操作，监控删除容器/镜像的人

优先查询系统日志

# 推荐
sudo grep docker /var/log/auth.log
# 其它可用命令
sudo cat /root/.bash_history | grep docker
sudo grep delete /var/log/docker.log
sudo grep docker /var/log/secure

使用场景

多人使用的服务器，使用的docker 容器或镜像被其他人删除，需要找到删除的人

查找方法：安装使用auditd工具，并配置规则记录所有用户的docker操作

auditd 是 Linux 审计守护进程（Audit Daemon），用于记录系统活动和安全事件。它是 Linux 内核审计子系统的一部分，帮助系统管理员跟踪关键系统事件、访问控制、用户活动等，从而增强系统安全性和合规性。

主要功能

• 事件记录：记录系统调用（如文件访问、网络操作）以及用户、进程和权限相关的活动。
• 安全审计规则：系统管理员可以定义规则，指定要审计的事件，比如监控特定文件或目录的访问。
• 详细的审计日志：审计事件被存储在 /var/log/audit/audit.log 文件中，提供详细的信息，如时间戳、用户、进程ID、操作类型、结果（成功/失败）等。
• 实时监控：可以使用工具（如 ausearch 或 auditctl）实时监控和查询审计日志。
• 用户管理审计：监控用户登录、登出、权限更改等敏感操作。
• 文件完整性监控：结合 auditd 和 audit rules，可以监控重要文件的访问、修改或删除操作。

相关工具

• auditctl：管理和配置审计规则。
• ausearch：搜索审计日志中的特定事件。
• aureport：生成审计报告的工具。
• aulast：显示用户登录和登出信息。
• autrace：用于跟踪特定命令的审计事件。

常见用途

• 合规性审计
• 确保系统符合安全标准，如 PCI DSS、HIPAA 等。
• 入侵检测
• 监控可疑活动，如未经授权的访问或权限提升。
• 系统故障排除
• 调查安全事故或操作系