Linux 系统管理和监控命令---- auditctl 命令

auditctl 是 Linux 审计系统（audit system）的一部分，它允许管理员配置审计规则，以跟踪和记录系统活动。这些规则可以帮助你监控对特定文件的访问、追踪特定用户的活动或记录系统调用。以下是 auditctl 的一些常用用法及其示例：

1. 添加新规则

• 命令: auditctl -a [规则列表], [动作]
• 用途: 添加一条新的审计规则。
• 示例: auditctl -a always,exit -F arch=b64 -S open,close -F exit=-EACCES
  • 解释: 对于所有64位架构的系统调用（如 open 和 close），如果返回 EACCES（拒绝访问错误），则总是记录。

2. 列出当前规则

• 命令: auditctl -l

• 用途: 显示当前所有的审计规则。

• 示例: 执行 auditctl -l 可能显示：

  -a always,