使用auditd监控Linux的文件变化

如果没有auditd的话&＃xff0c;使用yum安装安装即可

以linux监控/tmp/xxx.dat为例&＃xff1a;

# vi /etc/audit/audit.rules

# whenever the audit daemon is started via the initscripts.
# The rules are simply the parameters that would be passed
# to auditctl.
# First rule - delete all
-D
# Increase the buffers to survive stress events.
# Make this bigger for busy systems
-b 320
# Feel free to add below this line. See auditctl man page
-w /tmp/xxx.dat -p wa

修改完成后重启auditd服务

# service auditd restart

默认监控输出的文件是  /var/log/audit/audit.log 

你也可以使用ausearch来过滤搜索audit.log文件。例如&＃xff1a;

# ausearch -f /tmp/xxx.dat

----
time->Fri Dec 25 10:39:36 2015
type&＃61;PATH msg&＃61;audit(1451011176.268:17610): item&＃61;1 name&＃61;"/tmp/xxx.dat" inode&＃61;525492 dev&＃61;fd:00 mode&＃61;0100644 ouid&＃61;0 ogid&＃61;0 rdev&＃61;00:00
type&＃61;PATH msg&＃61;audit(1451011176.268:17610): item&＃61;0 name&＃61;"/tmp/" inode&＃61;524289 dev&＃61;fd:00 mode&＃61;041777 ouid&＃61;0 ogid&＃61;0 rdev&＃61;00:00
type&＃61;CWD msg&＃61;audit(1451011176.268:17610):  cwd&＃61;"/home/slview/test/wsc"
type&＃61;SYSCALL msg&＃61;audit(1451011176.268:17610): arch&＃61;c000003e syscall&＃61;2 success&＃61;yes exit&＃61;3 a0&＃61;1b89f20 a1&＃61;241 a2&＃61;1b6 a3&＃61;3fc1b1dc10 items&＃61;2 ppid&＃61;13913 pid&＃61;13977 auid&＃61;0 uid&＃61;0 gid&＃61;0 euid&＃61;0 suid&＃61;0 fsuid&＃61;0 egid&＃61;0 sgid&＃61;0 fsgid&＃61;0 tty&＃61;pts8 ses&＃61;1778 comm&＃61;"test.pl" exe&＃61;"/usr/bin/perl" key&＃61;(null)

如果你在使用ausearch过滤不出来内容时&＃xff0c;可以直接打开audit.log文件自己找。