auditctl 不提供“系统调用的内存审计上限”功能，实际相关配置有三类：1. auditctl -b 设置内核审计缓冲区条目数；2. auditctl -r 限制日志写入速率；3. 合理编写审计规则避免过度消耗内存。

auditctl 本身不提供设置“系统调用的内存审计上限”这一功能。这个说法存在概念混淆：Linux 审计系统（audit subsystem）中没有“针对系统调用的内存审计上限”这一参数或机制。

你可能实际想了解的是以下三类相关但不同的配置目标：

---

✅ 1. 控制审计日志缓冲区大小（影响内核暂存事件的内存容量）

这是最接近“内存上限”的真实配置，由 auditctl -b 设置，作用于内核审计缓冲区（backlog buffer），用于临时存放尚未被 auditd 消费的审计事件。

• 作用：防止高并发审计事件导致内核丢弃日志（lost 计数上升）

• 命令示例：

  sudo auditctl -b 8192

  表示将内核审计缓冲区设为 8192 个条目（不是字节，是事件数量）

• 查看当前值：

  sudo auditctl -s | grep backlog
  # 输出类似：backlog_limit = 8192

• 注意：

  • 此值过小 → 高负载时事件丢失（ausearch -m lost 可查）
  • 此值过大 → 占用更多内核内存（通常单条事件约 256–512 字节，8192 条约 2–4 MB）
  • 该设置仅在运行时生效，重启失效；如需持久化，需写入 /etc/audit/rules.d/01-backlog.rules 并配合 augenrules --load，但更推荐通过 /etc/audit/auditd.conf 的 backlog_limit 参数统一管理（auditd 启动时自动调用 auditctl -b）

---

✅ 2. 限制审计日志写入速率（防日志风暴打满磁盘/CPU）

这不是内存限制，但能间接降低内存压力（减少待处理事件积压）：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 设置每秒最大日志条数：

  sudo auditctl -r 50  # 每秒最多记录 50 条审计消息

• 查看：

  sudo auditctl -s | grep rate
  # rate_limit = 50

⚠️ 生产环境慎用 -r，可能掩盖关键事件；优先优化规则粒度（如避免监控 /proc、不用 -S execve 全量捕获）。

---

✅ 3. 防止审计规则本身耗尽内存（间接相关）

虽然不叫“内存上限”，但不当规则会显著增加内核审计框架开销：

• ❌ 避免无过滤的全系统调用监控：

  # 危险！极易引发性能抖动和内存压力
  sudo auditctl -a always,exit -S execve

• ✅ 推荐带条件过滤：

  # 仅监控普通用户（auid ≥ 1000）的 execve，且限架构
  sudo auditctl -a always,exit -F arch=b64 -S execve -F auid>=1000 -k user_cmd

• ❌ 避免监控虚拟文件系统路径（如 /proc, /sys, /dev）：

  sudo auditctl -w /proc -p r  # 失败且触发内核警告

---

? 持久化建议（避免重启丢失）

缓冲区和速率限制应写入 auditd.conf，而非仅用 auditctl 临时设置：

echo "backlog_limit = 8192" | sudo tee -a /etc/audit/auditd.conf
echo "rate_limit = 50"      | sudo tee -a /etc/audit/auditd.conf
sudo systemctl restart auditd

✅ auditd 服务启动时会自动执行 auditctl -b 和 auditctl -r，确保配置落地。

---

不复杂但容易忽略：所谓“系统调用的内存审计上限”，本质是内核缓冲区条目数 + 日志处理速率 + 规则精度三者协同控制的结果，而不是某个单一开关。