要让auditd记录所有针对/usr/local目录下程序的执行行为，核心是使用-a always,exit -F arch=b64/b32 -S execve -F path=/usr/local/bin/ -k local_bin_exec规则捕获execve系统调用，配合augenrules --load持久化，并用ausearch -k local_bin_exec -m execve -i查看含参数的完整执行日志。
要让 auditd 记录所有针对 /usr/local 目录下程序的执行行为，核心是捕获 execve 系统调用，并结合路径过滤或目录监控策略。但需注意：auditd 不能直接用 -w /usr/local/bin -p x 这类方式监控“执行”，因为 -w 只对文件访问（open/read/write/attr）有效，不触发于 execve；真正记录“执行”必须靠 -S execve + 路径匹配（-F path=）或更可靠的 -F exe=，但后者有局限性。
下面分三类实用方案，按推荐度排序：
✅ 推荐方案：用 -S execve 捕获所有执行，并用 -F path= 精准筛选 /usr/local 下的二进制
这是最常用、兼容性好、能带参数记录的方式：
auditctl -a always,exit -F arch=b64 -S execve -F path=/usr/local/bin/ -k local_bin_exec auditctl -a always,exit -F arch=b32 -S execve -F path=/usr/local/bin/ -k local_bin_exec
说明：
-
-a always,exit：在 execve 系统调用退出时审计（确保命令已启动） -
-F arch=b64/b32：分别覆盖 64 位和 32 位程序（x86_64 系统必须两者都加） -
-F path=/usr/local/bin/：注意末尾斜杠表示“目录前缀匹配”，auditd 会匹配/usr/local/bin/xxx类路径（要求内核 ≥ 3.14，主流 CentOS 7+/RHEL 8+ 均支持） -
-k local_bin_exec：打标签，后续用ausearch -k local_bin_exec快速检索
⚠️ 注意事项：
-
/usr/local/bin/必须真实存在且为目录（不能是符号链接终点未解析的路径） - 若程序在
/usr/local/sbin/或/usr/local/libexec/下运行，需额外添加对应-F path=规则 - 不要写
-F path=/usr/local—— auditd 不支持目录通配，只支持精确路径或带末尾/的前缀匹配
⚠️ 替代方案：监控 /usr/local 下关键可执行文件（适合少量固定程序）
如果只关心几个特定命令（如 /usr/local/bin/nginx、/usr/local/bin/python3），可逐个加规则：
auditctl -w /usr/local/bin/nginx -p x -k nginx_exec auditctl -w /usr/local/bin/python3 -p x -k python3_exec
说明：
-
-w ... -p x会记录对该文件的“执行”访问（即 openat(AT_FDCWD, "...", O_RDONLY|O_CLOEXEC) + execve） - 优点：规则轻量、日志干净
- 缺点：无法覆盖新放入的程序，维护成本高，不适用于动态部署场景
❌ 不推荐方案：用 -w /usr/local -p x 或 -w /usr/local/ -p x
这完全无效，因为：
-
-w监控的是文件/目录的 元数据或内容访问，不是“执行” -
/usr/local是目录，-p x对目录无意义（目录没有“执行权限触发审计”这一机制） - auditd 明确不支持对虚拟文件系统（如
/proc）或仅作挂载点的目录做-w执行监控，而/usr/local虽非虚拟，但-p x在目录上不会触发 execve 审计事件
✅ 让规则永久生效（重启不丢失）
临时规则（auditctl 添加）重启即失效。生产环境必须写入永久规则：
-
创建规则文件：
echo '-a always,exit -F arch=b64 -S execve -F path=/usr/local/bin/ -k local_bin_exec' > /etc/audit/rules.d/local-exec.rules echo '-a always,exit -F arch=b32 -S execve -F path=/usr/local/bin/ -k local_bin_exec' >> /etc/audit/rules.d/local-exec.rules
-
加载规则：
augenrules --load
-
验证是否生效：
auditctl -l | grep local_bin_exec systemctl status auditd
提示：CentOS 7 不支持
systemctl restart auditd（会清空规则），务必用augenrules --load；RHEL 8+/CentOS 8+ 可配合systemctl restart auditd，但仍推荐统一走augenrules。
✅ 查看执行日志（含命令行参数）
执行后，用以下命令查日志：
# 查看所有匹配关键词的 execve 事件（含 argv 参数） ausearch -k local_bin_exec -m execve --input-logs | aureport -f -i # 或直接解析最近 10 条 ausearch -k local_bin_exec -m execve -i | head -20
输出中 exe 字段是执行文件路径，cwd 是当前工作目录，cmd（或 a0,a1,...）字段会显示完整命令行参数（需 -i 解码 UID/GID/路径等）。
规则生效后，只要用户执行 /usr/local/bin/xxx 下任意程序，auditd 就会完整记录时间、用户、终端、命令及参数，满足合规审计与行为回溯需求。
