auditd通过捕获execve系统调用可完整记录所有命令及参数，覆盖su、sudo、cron等场景；而/etc/profile+history存在su切换、非交互shell、exec绕过等严重盲区。
auditd 能完整记录用户执行的命令（含参数），但默认不开启；直接改 /etc/profile 记录命令历史有严重盲区，比如 su 切换后、非交互式 shell、exec 绕过等场景全漏掉。
用 auditd 捕获 execve 系统调用（含参数）
这是最可靠的方式，因为所有命令执行最终都经过 execve 系统调用。它不依赖 shell，能覆盖 su、sudo、crontab、脚本内命令等场景。
-
sudo auditctl -a always,exit -F arch=b64 -S execve（x86_64 系统必须加-F arch=b64，否则规则无效） -
sudo auditctl -a always,exit -F arch=b32 -S execve（兼容 32 位程序，如部分容器内进程） - 规则生效后，所有命令都会被记录到
/var/log/audit/audit.log，包括完整参数（如rm -rf /tmp/test） - 注意：不要只加
-F uid!=0这类过滤，ausearch查的时候再过滤更安全，避免规则加载失败导致漏记
为什么不能只靠 /etc/profile + history 记录？
这种方案看似简单，实际在生产环境几乎不可用——它只捕获当前 shell 的 HISTFILE 写入行为，而大量操作根本不会触发该机制。
- su 或 sudo -i 切换用户后，新 shell 的 history 不会自动写入原用户的 history 文件
- 非交互式 shell（如
ssh user@host 'ls'、cron job）完全不读取/etc/profile - 攻击者执行
unset HISTFILE; ls或直接调用/bin/ls可绕过所有 history 控制 - 多个终端并行时，history 时间戳混乱，且无法关联到具体 tty 或登录会话 ID
查某用户最近执行了哪些命令？用 ausearch 精准过滤
别直接 cat /var/log/audit/audit.log，原始日志字段密集、无结构。用 ausearch 才能快速定位。
- 查用户
john的全部命令：sudo ausearch -u john -m execve --raw | aureport -f -i - 查某次登录会话（比如 tty1）的所有操作：
sudo ausearch -ts recent -m event --session 12345（session ID 可从loginuid字段或last命令获取） - 查带敏感参数的命令（如含
passwd）：sudo ausearch -m execve | grep -i passwd（注意：grep 是对文本流操作，不是审计层过滤） - 注意：
ausearch -sc EXECVE是简写，但不如显式写-m execve稳定，某些 auditd 版本不识别大写EXECVE
auditd 规则要持久化，否则重启就失效
auditctl 添加的规则只存在于内存，系统重启或 auditd 重载后清空。必须写入规则文件才能长期生效。
- 把规则写进
/etc/audit/rules.d/execve.rules（文件名任意，但需以.rules结尾） - 内容示例：
-a always,exit -F arch=b64 -S execve - 执行
sudo augenrules --load加载（它会合并/etc/audit/rules.d/下所有规则，生成/etc/audit/audit.rules并通知 auditd） - 验证是否生效：
sudo auditctl -l | grep execve，看到规则即表示已加载 - 注意：不要手动编辑
/etc/audit/audit.rules，它会被augenrules覆盖；所有自定义规则必须放在/etc/audit/rules.d/下
真正难的不是加一条 auditctl 命令，而是理解每条规则背后触发的系统调用路径、架构差异和 session 生命周期——漏掉任何一个环节，审计日志就出现断层。
