请大家说说一般Audit审计级别定义到多高合适？

anwll

现有一些\r\nV450 （APP）\r\nV890（DB）的Server，需要做Audit审计，级别如果太高产生日志会太多了，太少无法体现Audit的作用，\r\n大家所负责的系统一般都采取怎样的策略呢？

anwll

自己顶一下，\r\n我现在是定义了lo,ad,am,ss事件，不知道这样的策略，是否够了？？\r\n审计类说明性名称说明\r\nall all 所有类（元类）\r\nno no_class 用于关闭事件预选的空值\r\nna non_attrib 不可归属事件\r\nfr file_read 读取数据，打开进行读取\r\nfw file_write 写入数据，打开进行写入\r\nfa file_attr_acc 访问对象属性：stat、pathconf\r\nfm file_attr_mod 更改对象属性：chown、flock\r\nfc file_creation 创建对象\r\nfd file_deletion 删除对象\r\ncl file_close close 系统调用\r\nap application 应用程序定义的事件\r\nad administrative 管理操作（旧的管理元类）\r\nam administrative 管理操作（元类）\r\nss system state 更改系统状态\r\nas system-wide\r\nadministration系统范围的管理\r\nua user administration 用户管理\r\naa audit administration 利用审计\r\nps process start 启动和停止进程\r\npm process modify 修改进程\r\npc process 进程（元类）\r\nex exec 执行程序\r\nio ioctl ioctl() 系统调用\r\nip ipc 系统V IPC 操作\r\nlo login_logout 登录和注销事件\r\nnt network 网络事件：bind、connect、accept\r\not other 杂项，例如设备分配和memcntl()

bencyber

其实应该看你需要了解审计些什么内容，以及与性能的一些折中。