audit实现

桐君浪子

具体步骤如下：\r\n\r\n    1、定义 /etc/security/audit/config文件中的class节，单独定义一个类，名称为custom，将需要审计的各种事件依次列出，格式如下：\r\n\r\nclasses ：\r\n\r\nCustom ＝ PASSWORD_Change，USER_SU\r\n\r\n定义使用这些审计的用户，在同一个文件的user节中定义：\r\n\r\n格式如下：\r\n\r\nusers:\r\n\r\nRoot = custom\r\n\r\n    2、增加一个新的文件系统，挂接点为：/audit\r\n\r\n    3、启动审计程序：audit start\r\n\r\n    4、系统自动在/audit目录下生成bin1、bin2、trail三个文件\r\n\r\n    5、查看审计情况\r\n\r\n    1）如果查看近期的审计情况，执行命令：auditpr –v < bin1 或者 auditpr –v < bin2\r\n\r\n    2）如果查看历史审计情况，执行命令：auditpr –v < trail \r\n\r\n其中，bin1、bin2是两个循环日志，交替使用，其内容定期刷新内容到trail文件中。\r\n\r\n\r\n    6、关闭审计：audit shutdown\r\n\r\n\r\n    7、注意：audit不自动启动、关闭，因此需要在启动脚本和停止脚本中分别增加audit start/audit shutdown，使得每次系统启动/关闭后，自动运行/关闭审计功能。\r\n\r\n\r\n    注意：audit文件在/usr/sbin目录下。

hanhanxt

etc/security\r\nddddddddddddd