新手配置Linux安全审计框架需搭建auditd监控与oscap合规扫描两大支柱：一、启用auditd记录关键操作；二、用AIDE每日校验文件完整性；三、通过oscap执行CIS/NIST基准扫描并生成HTML报告；四、严格管控审计日志与sudo日志权限。
新手配置Linux安全审计框架并导出合规报告，核心是搭好 auditd 基础监控 + oscap 合规扫描 两个支柱，不需写代码、不依赖外部平台，用系统自带工具就能跑通。
一、快速启用 auditd 审计日志（记录谁干了什么）
这是所有审计的起点，目标是让系统开始记录关键操作。
- 确认已安装并启动服务：
sudo systemctl enable --now auditd，运行sudo systemctl status auditd看是否为 active (running) - 添加三条基础持久化规则（编辑
/etc/audit/rules.d/audit.rules）：-w /etc/passwd -p wa -k identity-w /etc/shadow -p wa -k auth_priv-a always,exit -F arch=b64 -S execve -k cmd_exec - 加载新规则：
sudo augenrules --load，不用重启服务 - 验证是否生效：用普通用户执行
ls，再查日志sudo ausearch -k cmd_exec -m execve | tail -3，能看到命令记录就说明通了
二、设置每日自动校验文件完整性（防篡改）
auditd 记“谁动了”，AIDE 则盯“文件有没有被悄悄改过”，两者互补。
- 安装 AIDE：
sudo apt install aide（Ubuntu/Debian）或sudo yum install aide（RHEL/CentOS） - 初始化基线数据库：
sudo aide --init，生成的/var/lib/aide/aide.db.new需重命名为aide.db：sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db - 创建每日检查脚本（如
/etc/cron.daily/aide-check），内容为：#!/bin/shaide --check | mail -s "AIDE Daily Report $(date +%F)" admin@localhost
赋予执行权限：sudo chmod +x /etc/cron.daily/aide-check
三、用 oscap 一键生成合规报告（满足CIS/NIST等要求）
不用逐条检查配置，直接调用行业标准模板批量评估。
- 安装 OpenSCAP 工具链：
sudo apt install openscap-utils scap-security-guide（Ubuntu）或sudo yum install openscap-scanner scap-security-guide（RHEL/CentOS） - 查看可用合规基准：
oscap info /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml（Ubuntu）或对应 RHEL 版本路径 - 立即执行一次扫描并生成 HTML 报告：
sudo oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_cis --report report.html /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml - 把上面命令写入定时任务（如
/etc/cron.weekly/oscap-scan），每周自动生成新报告，替换旧文件即可
四、权限与日志管理（避免审计本身被绕过）
审计数据若被删改或权限过宽，整个机制就失效了。
- 收紧审计日志目录权限：
sudo chmod 0700 /var/log/audit/和sudo chmod 0600 /var/log/audit/audit.log - 配置日志轮转，防止撑爆磁盘：编辑
/etc/logrotate.d/auditd，确保含maxsize 50M、rotate 6、compress - 限制 sudo 日志独立存放且仅 root 可读：
echo 'Defaults logfile="/var/log/sudo.log"' | sudo tee -a /etc/sudoers，然后sudo chmod 600 /var/log/sudo.log
