```
# 本地的事件是否记录,设置为no的场景应该是只作为远程日志收集的服务器,但自身的日志大多数时候也是有必要记录的
local_events = yes
# 日志是否落盘,设置为no的场景应该是将会把日志存储到远程服务器的客户端(没有足够空间的情况下)
write_logs = yes
# 日志记录的文件
log_file = /var/log/audit/audit.log
# 日志文件默认所属的组
log_group = adm
# 日志的格式,一般设置为RAW即可
log_format = RAW
# 设置日志写到日志的同步方式,这里设置为异步增量式
flush = INCREMENTAL_ASYNC
# 当flush设为为了INCREMENTAL_ASYNC或INCREMENTAL才有效,意思是当有50条记录时才同步到日志文件
freq = 50
# 设置日志文件的大小,单位为M
max_log_file = 10
# 设置日志文件的最多数量
num_logs = 99
# 优先级的设置,默认为4即可
priority_boost = 4
# 这是audit daemon和dispatcher之间的缓冲区的通信是阻塞/无损或非阻塞/有损的选项,当缓冲区满时,有损的话就会丢失一些日志(远程服务器),并不影响本地,当选择了无损的方式,将一直等待网络IO的空出,日志也不会记录到硬盘上,故还是lossy方式比较好一些
disp_qos = lossy
# 指定dispatche