需启用auditd服务并配置三条核心规则：登录监控、家目录文件操作监控、shell命令执行监控，再将规则持久化至/etc/audit/rules.d/，最后配置日志轮转防磁盘占满。
在统信UOS系统中对员工电脑操作行为进行审计，需启用系统内置的审计子系统（auditd）并配置规则，确保关键事件如登录、文件访问、命令执行等被持续记录，且日志不被普通用户删除或篡改。
启用并启动auditd服务
统信UOS默认安装auditd但通常处于禁用状态，必须手动启用才能开始捕获事件。
打开终端，执行：sudo systemctl enable auditd && sudo systemctl start auditd
这一步必须完成，否则后续所有规则均不会生效。若跳过此步，配置的审计规则将完全静默——既不报错也不记录。
添加核心审计规则
审计规则决定哪些行为被记录。以下三条覆盖员工日常高风险操作：
方法一：监控所有用户登录与登出行为
执行：sudo auditctl -w /var/log/auth.log -p wa -k auth_events
该规则监听认证日志文件的写入和属性变更，可捕获su、sudo、ssh登录、图形界面解锁等动作。
方法二：监控敏感目录下的文件读写（如家目录、下载目录）
执行：sudo auditctl -w /home/ -p rwxa -k user_files
【注意：/home/ 后必须带斜杠，否则规则不匹配子目录】 此规则递归监控所有用户主目录下的新建、读取、修改、执行行为，包括文档、截图、压缩包等常见操作痕迹。
方法三：记录所有执行的shell命令（需配合execve系统调用）
执行：sudo auditctl -a always,exit -F arch=b64 -S execve -k cmd_exec
该规则捕获64位环境下所有进程启动事件，能还原员工运行了什么命令、参数是什么、由哪个用户触发。记录粒度细，但日志量大，建议仅在必要时段开启。
持久化保存审计规则
auditctl添加的规则在重启后会丢失，必须写入配置文件才能长期生效。
第一步：将当前运行的规则导出为规则文件
执行：sudo auditctl -l > /etc/audit/rules.d/employee-audit.rules
第二步：编辑该文件，删掉以-a task,never开头的默认拒绝行（如有），避免干扰；确认每行以-w或-a开头且无语法错误。
第三步：重启auditd服务使配置落地
执行：sudo systemctl restart auditd
重启后可通过sudo auditctl -l验证规则是否加载成功。若输出为空，说明规则文件格式有误或路径未被识别。
第四步：设置日志轮转防止磁盘占满
编辑/etc/audit/auditd.conf，将max_log_file设为100（单位MB），num_logs设为6，保存后执行sudo systemctl kill --signal=SIGHUP auditd重载配置。
