auditd能精准捕获网络接口配置文件的写入与属性变更，需锁定真实路径（如/etc/sysconfig/network-scripts/ifcfg-eth0）、用-p wa监控写入和属性变更、加-k netif_cfg_mod标签，并将规则写入/etc/audit/rules.d/20-network-config.rules后执行augenrules --load永久生效。
auditd 能精准捕获对网络接口配置文件的任何写入或属性变更，关键在于锁定真实路径、用对权限标记、加好标签，并确保规则永久生效。
明确要监控的核心配置文件路径
Linux 网络接口配置文件因发行版而异，不能凭经验硬写。必须先确认实际存在的、被系统真正读取的文件：
- CentOS/RHEL 7+ 和 Rocky/AlmaLinux：/etc/sysconfig/network-scripts/ifcfg-*（如 ifcfg-eth0、ifcfg-enp0s3）
- Debian/Ubuntu（使用 ifupdown）：/etc/network/interfaces
- systemd-networkd 环境：/etc/systemd/network/*.network
- NetworkManager 管理时，实际生效配置可能来自 /run/NetworkManager/system-connections/（该路径为运行时目录，需确认是否持久化）
执行 ls -l /etc/sysconfig/network-scripts/ifcfg-* 或 ls -l /etc/network/interfaces 验证路径存在；若使用软链接，auditd 不自动跟随，必须监控目标文件本身。
配置精准审计规则（-w + -p wa + -k）
对每个确认有效的配置文件，添加一条规则。以 CentOS 的 ifcfg-eth0 为例：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 临时验证：sudo auditctl -w /etc/sysconfig/network-scripts/ifcfg-eth0 -p wa -k netif_cfg_mod
- -p wa 表示只捕获写入（如 echo、vi :w、cp 覆盖）和属性变更（如 chmod 600、chown root:root），这两类操作最可能关联配置篡改
- -k netif_cfg_mod 是必需标签，后续查日志必须靠它，不能省略；名称要语义清晰，避免空格或斜杠
- 不要加 -p r：读取操作高频且无安全意义（如 network-scripts 脚本自身读取），会淹没真实修改事件
让规则开机自启、服务重启不失效
临时规则在 reboot 或 systemctl restart auditd 后全部清空，生产环境必须落盘：
- 创建规则文件：sudo nano /etc/audit/rules.d/20-network-config.rules
- 写入内容（每行一条，无首空格）：
-w /etc/sysconfig/network-scripts/ifcfg-eth0 -p wa -k netif_cfg_mod
-w /etc/sysconfig/network-scripts/ifcfg-lo -p wa -k netif_cfg_mod - 保存后执行：sudo augenrules --load
- 验证是否加载成功：sudo auditctl -l | grep netif_cfg_mod
切勿直接编辑 /etc/audit/audit.rules —— 它由 augenrules 自动生成，手动改会被覆盖。
高效检索与识别真实修改行为
日志默认是二进制格式，必须用 -k 和 -i 组合才能看懂：
- 查最近所有网络配置修改：sudo ausearch -k netif_cfg_mod --start recent -i
- 关键字段含义：
comm=“vim” 表示调用命令名
exe=“/usr/bin/vim” 是实际执行程序
uid=0 表示 root 执行
cwd=“/etc/sysconfig/network-scripts” 是操作时所在目录
success=yes 表示操作成功完成 - 若看到 comm="(unknown)"，说明进程已退出，需结合 exe 和 ppid（父进程 ID）向上追溯
不复杂但容易忽略。
