Linux 文件篡改审计（auditctl 实战指南）

在服务器安全中，仅仅"禁止修改文件"（例如 chattr +i）是不够的。

更重要的是：

当文件被修改时，能够知道是谁（进程 / 用户）在什么时候改了什么文件。

本文介绍如何使用 Linux 内核审计工具

👉 auditd

实现文件篡改监控。

一、核心命令

基础规则（推荐写法）

auditctl -a always,exit -F arch=b64 -F dir=/demo -F perm=wa -k filewatch

参数说明

-a always,exit → 在系统调用结束时记录日志

-F arch=b64 → 64位系统调用（必须加，否则性能差且可能漏日志）

-F dir=/demo → 监控目录（递归）

-F perm=wa → 监控写(write) + 属性(attribute)

-k filewatch → 日志标签

二、效果演示

1）创建测试文件

mkdir /demo

echo "hello" > /demo/test.txt

2）修改文件

echo "hack" >> /demo/test.txt

3）查看审计日志

ausearch -k filewatch -i

4）示例输出（精简版）

type=SYSCALL ... syscall=openat ... comm=bash exe=/usr/bin/bash

type=PATH ... name=/demo/test.txt

日志含义

comm=bash → 执行修改的进程

exe=/usr/bin/bash → 程序路径

name=/demo/test.txt → 被修改的文件

如果出现：

O_RDWR|O_CREAT|O_TRUNC

说明：

👉 文件被打开并且清空后重写

三、查看规则

auditctl -l

示例：

-a always,exit -F arch=b64 -F dir=/demo -F perm=wa -F key=filewatch

四、删除规则

删除单条规则（旧写法）

auditctl -W /demo -p wa -k filewatch

清空所有规则（慎用）

auditctl -D

五、进阶用法

1）捕获更多修改行为

auditctl -a always,exit -F arch=b64

-S open,openat,rename,unlink,truncate

-F dir=/demo

-k filewatch_detail

可监控：

文件写入

重命名

删除

覆盖

2）只关注写操作

auditctl -a always,exit -F arch=b64

-S open,openat

-F dir=/demo

-k filewatch_open

重点看 flags：

O_WRONLY

O_RDWR

O_TRUNC

O_CREAT

3）只监控某个进程（推荐）

例如只监控 PHP：

auditctl -a always,exit -F arch=b64

-S open,openat

-F exe=/usr/sbin/php-fpm

-k php_write

六、查看日志（常用命令）

ausearch -k filewatch -i

查看最近：

ausearch -k filewatch -ts recent -i

查看今天：

ausearch -k filewatch -ts today -i

七、性能建议

⚠️ 审计是同步记录，规则不当会影响性能

建议：

❌ 不要监控整个系统

❌ 不要监控高频写目录

✅ 只监控核心代码目录

✅ 使用 key 分类日志

八、安全能力总结

能力支持

记录谁改文件 ✅

记录进程路径 ✅

记录具体文件 ✅

阻止修改 ❌

九、防篡改最佳实践

chattr +i → 防止关键文件被改
auditd → 记录谁改
AIDE → 定期完整性检测
日志远程备份 → 防止被删除