需安装auditd、启用启动服务、配置规则、验证日志、设置轮转；依次执行yum/apt安装、systemctl enable/start、编辑/etc/audit/rules.d/audit.rules、ausearch/tail查看日志、修改auditd.conf并restart。

如果您希望在Linux系统中启用审计功能以满足安全合规要求，则需要正确安装、配置并启动auditd服务。以下是实现此目标的步骤：

一、安装auditd服务

auditd是Linux内核提供的审计守护进程，多数发行版默认未安装该服务，需手动安装以启用基础审计能力。

1、在基于RPM的系统（如CentOS、RHEL、Fedora）上执行：sudo yum install audit audit-libs。

2、在基于Debian的系统（如Ubuntu、Debian）上执行：sudo apt update && sudo apt install auditd audispd-plugins。

3、安装完成后验证是否成功：rpm -q auditd（RPM系）或dpkg -l | grep auditd（Deb系）。

二、启用并启动auditd服务

安装后需确保auditd服务开机自启并当前运行，否则审计规则不会生效，日志无法生成。

1、设置开机自启：sudo systemctl enable auditd。

2、立即启动服务：sudo systemctl start auditd。

3、检查服务状态：sudo system

ctl status auditd，确认输出中显示“active (running)”。

三、配置审计规则文件

审计规则定义哪些系统调用、文件访问或用户行为需被记录，规则写入/etc/audit/rules.d/目录下的*.rules文件，由auditctl加载。

1、编辑主规则文件：sudo nano /etc/audit/rules.d/audit.rules。

2、添加监控关键系统文件的规则，例如：-w /etc/passwd -p wa -k identity（监控passwd文件的写和属性变更）。

3、添加监控特权命令执行的规则，例如：-a always,exit -F path=/usr/bin/sudo -F perm=x -k privileged_commands。

4、保存退出后，重新加载所有规则：sudo augenrules --load。

四、验证审计日志是否正常生成

审计日志默认存储于/var/log/audit/audit.log，需确认日志路径可写、磁盘空间充足且日志轮转已配置，避免日志丢失或写满。

1、查看最近审计事件：sudo ausearch -m SYSCALL -ts recent。

2、实时监控新产生的审计日志：sudo tail -f /var/log/audit/audit.log。

3、搜索特定关键字（如root用户操作）：sudo ausearch -ui 0 -i。

五、配置auditd日志轮转与存储限制

防止audit.log无限增长导致磁盘耗尽，需通过/etc/audit/auditd.conf设置日志大小、保留数量及自动压缩策略。

1、编辑配置文件：sudo nano /etc/audit/auditd.conf。

2、修改日志最大容量（单位MB）：max_log_file = 50。

3、设置保留日志数量：num_logs = 5。

4、启用日志压缩：compress = yes。

5、重启服务使配置生效：sudo systemctl restart auditd。