Auditd

购买 Self-Hosted Protection
Live
Demo
auditd — 系统审计
缓存: 11:04:09 刷新
Detected 6 login attempts from external IPs
今日登录次数: 4  |  Sudo: 51  |  已拦截: / 6  |  用户: admin
今日登录次数
4
外部登录尝试
6
今日 Sudo 次数
51
Log
10
外部登录尝试 (6)
时间用户IP / 主机终端状态
2026-10-13 11:04:09 root 198.51.100.21 — 未封禁
2026-10-13 03:10:54 root 198.51.100.24 — 未封禁
2026-10-12 23:04:19 root 198.51.100.21 — 未封禁
2026-10-12 15:49:06 root 198.51.100.16 — 未封禁
2026-10-12 07:23:37 root 198.51.100.16 — 未封禁
2026-10-12 03:27:49 root 198.51.100.18 — 未封禁
今日 Sudo 命令数 51 significant / 51 total
时间用户命令结果
2026-10-13 11:04:09 admin /usr/bin/systemctl status fail2ban OK
2026-10-13 10:45:30 admin /usr/bin/apt update OK
2026-10-13 09:49:57 admin /usr/sbin/ufw status OK
2026-10-13 10:24:00 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-13 10:14:25 admin /usr/bin/docker ps OK
2026-10-13 09:37:24 admin /usr/sbin/fail2ban-client status OK
2026-10-13 06:33:21 admin /usr/bin/systemctl restart nginx OK
2026-10-13 08:31:40 admin /usr/bin/journalctl -u sshd OK
2026-10-13 05:11:53 admin /usr/sbin/aa-status OK
2026-10-13 07:25:36 admin /usr/bin/crontab -l OK
2026-10-13 06:58:29 admin /usr/sbin/lynis audit system OK
2026-10-13 02:22:01 admin /usr/bin/cscli decisions list OK
2026-10-13 03:54:45 admin /usr/bin/systemctl status fail2ban OK
2026-10-13 07:38:32 admin /usr/bin/apt update OK
2026-10-13 00:13:23 admin /usr/sbin/ufw status OK
2026-10-13 08:00:09 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-13 06:36:57 admin /usr/bin/docker ps OK
2026-10-13 00:42:14 admin /usr/sbin/fail2ban-client status OK
2026-10-13 04:51:33 admin /usr/bin/systemctl restart nginx OK
2026-10-13 07:01:16 admin /usr/bin/journalctl -u sshd OK
2026-10-12 21:39:09 admin /usr/sbin/aa-status OK
2026-10-13 00:53:45 admin /usr/bin/crontab -l OK
2026-10-12 18:57:37 admin /usr/sbin/lynis audit system OK
2026-10-13 01:13:03 admin /usr/bin/cscli decisions list OK
2026-10-12 15:14:33 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 16:06:39 admin /usr/bin/apt update OK
2026-10-13 05:32:13 admin /usr/sbin/ufw status OK
2026-10-13 01:55:09 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-12 18:09:09 admin /usr/bin/docker ps OK
2026-10-13 05:51:26 admin /usr/sbin/fail2ban-client status OK
2026-10-13 03:48:39 admin /usr/bin/systemctl restart nginx OK
2026-10-13 02:43:30 admin /usr/bin/journalctl -u sshd OK
2026-10-12 18:31:37 admin /usr/sbin/aa-status OK
2026-10-12 19:46:45 admin /usr/bin/crontab -l OK
2026-10-12 12:14:31 admin /usr/sbin/lynis audit system OK
2026-10-12 22:01:19 admin /usr/bin/cscli decisions list OK
2026-10-12 15:47:57 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 07:22:14 admin /usr/bin/apt update OK
2026-10-12 19:37:35 admin /usr/sbin/ufw status OK
2026-10-13 00:40:48 admin /usr/bin/tail -f /var/log/auth.log OK
2026-10-12 06:15:29 admin /usr/bin/docker ps OK
2026-10-12 14:34:50 admin /usr/sbin/fail2ban-client status OK
2026-10-12 07:02:45 admin /usr/bin/systemctl restart nginx OK
2026-10-13 01:41:34 admin /usr/bin/journalctl -u sshd OK
2026-10-12 12:04:01 admin /usr/sbin/aa-status OK
2026-10-12 21:21:24 admin /usr/bin/crontab -l OK
2026-10-11 21:26:19 admin /usr/sbin/lynis audit system OK
2026-10-11 22:57:27 admin /usr/bin/cscli decisions list OK
2026-10-12 18:14:33 admin /usr/bin/systemctl status fail2ban OK
2026-10-12 05:47:30 admin /usr/bin/apt update OK
2026-10-11 21:43:19 admin /usr/sbin/ufw status OK
今日登录 / 登出 (4)
时间类型用户IP / 主机结果状态
2026-10-13 11:04:09 USER_LOGIN admin 203.0.113.20 OK 未封禁
2026-10-13 07:11:21 USER_LOGIN admin 203.0.113.20 OK 未封禁
2026-10-13 04:34:55 USER_LOGIN admin 203.0.113.20 OK 未封禁
2026-10-13 03:31:15 USER_LOGIN admin 203.0.113.20 OK 未封禁
/var/log/audit/audit.log

在 ausearch 让人吃力的地方用 Auditd Web UI

Linux 的审计守护进程只记录你要求的东西，一点不多，这让它成为服务器上最精确的工具，同时也是查询起来最难受的工具。ausearch 和 aureport 能用，但它们默认你已经知道自己要找什么，并且还记得那个能找到它的选项。

这一页展示当前已加载的审计规则、被监视的路径与系统调用，以及最新的事件，附带类型、责任进程和结果。看到已加载的规则和看到事件同样重要：空规则集正是 auditd 看起来在跑却什么有价值的东西都没记下的最常见原因。

一套合理的起步规则会盯住 /etc/passwd 与 /etc/shadow 的变更、/etc/ssh/sshd_config 的改动，以及提权类可执行文件的运行。这四项覆盖了入侵通常留下的痕迹，又不会让日志被日常工作的噪音淹没。