谁动过这个文件：openEuler 上用 auditd 把文件变动记成台账

服务器上的关键文件被动过，事后想查"谁、什么时候、动了什么"，靠翻各处日志往往拼不出来：业务日志记业务，登录日志记登录，中间那一段"某个文件被读被改"恰恰是空白。Linux 内核自带的审计框架 auditd 补的就是这一段——对指定文件、指定系统调用设监控规则，命中即记录成台账。openEuler 软件源自带这套工具，配置纯命令行，中小企业拿来盯关键配置与敏感数据正合适。

安装与启动。

dnf install audit
systemctl enable --now auditd

auditd 常年随系统常驻，确认服务处于运行状态即可。

给关键文件立规矩。 核心诉求是"谁动过这个文件"，对应 write/attribute 系统调用。监视 /etc/passwd 这类账号文件的变动，规则这样写：

auditctl -w /etc/passwd -p wa -k identity-change

-w 指定监控路径，-p wa 表示记录写（write）与属性变更（attribute），-k 是自定义检索关键字，事后按它过滤。业务数据同理，比如盯住财务导出目录：

auditctl -w /srv/finance/export -p wa -k finance-export

查台账。 用 ausearch 按关键字检索：

ausearch -k identity-change -i

-i 把输出翻译成可读格式：时间、进程名、执行者 UID、操作类型一条条列清，“谁动了文件"就此有据可查。统计汇总用 aureport：

aureport -k

让规则重启不丢。 auditctl 手工加的规则存在内存里，重启即失效。要长期生效，把规则写进 /etc/audit/rules.d/audit.rules 文件，再执行 augenrules --load 重新加载即可。

两条务实提醒。 其一，规则贵精不贵多：盯住账号文件、核心配置、敏感数据目录这几处高频要害即可，全盘铺规则会把磁盘和检索都拖垮。其二，审计台账要跟着备份走：/var/log/audit 下的日志纳入备份与集中收集，别让"证据"本身成为单点。

出了事能说清"谁干的”，平时能吓住"想干的"，这就是审计的价值。企业服务器的安全加固与审计体系怎么搭，贵州诚鑫致达科技给本地企业落地过不少，有需要欢迎留言交流。

企业存储选型参考｜贵州诚鑫致达

小团队起步上手 NAS，群晖机型参考：DS425+ · DS224+ · DS124。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。