直接监控/var/log的物理写入行为是防止日志篡改或删除的关键手段，auditd通过捕获open、write、unlink、rename、truncate等底层系统调用，精准覆盖清空、覆盖、重命名、删除等攻击手法，需配置-w /var/log/ -p wa及-a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat,truncate,ftruncate规则并持久化。
直接监控 `/var/log` 的物理写入行为，是防止日志被篡改或删除的关键手段。auditd 能捕获底层系统调用（如 `open`, `write`, `unlink`, `rename`, `truncate`），这些正是攻击者清空、覆盖或移除日志文件时必然触发的操作。重点不是“谁删了日志”，而是“哪些系统调用真正修改了磁盘上的日志文件内容或元数据”。
明确监控目标：路径、权限与关键系统调用/var/log 是一个目录，其下包含大量日志文件（如/var/log/audit/audit.log、/var/log/messages、/var/log/secure等）。auditd 的 `-w` 规则基于 inode，因此必须监控该路径本身及其子树的**写入和属性变更**行为：-p wa是核心：w 表示写入（含 `open(O_WRONLY|O_RDWR)`、`write`、`pwrite`、`truncate`），a 表示属性变更（含 `chmod`、`chown`、`utimes`），这两类操作足以覆盖清空、覆盖、重命名、删除等手法必须包含rename和unlink：攻击者常用 `mv /tmp/empty.log /var/log/messages` 或 `rm /var/log/audit.log`，这些不涉及直接 write，但会触发 rename/unlink 系统调用；仅靠 `-p w` 无法捕获不能只依赖 `-w /var/log/ -p wa`：该规则对目录生效，能捕获在该目录下创建/删除文件，但对已存在文件的内容写入（如 `echo "x" >> /var/log/messages`）也有效——因为内核审计的是 open+write 调用链，只要文件路径落在监控路径下即触发配置防绕过、可落地的审计规则避免宽泛规则导致日志爆炸或被绕过。推荐分层设置，兼顾覆盖性与实用性：监控主日志目录及其所有子目录：sudo auditctl -w /var/log/ -p wa -k varlog_write额外捕获关键系统调用（绕过文件级监控的提权清日志行为）：sudo auditctl -a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat,truncate,ftruncate -k varlog_syscall若系统启用了 logrotate 或 rsyslog 写日志，这些合法操作也会被记录——这是预期行为，后续靠 key 过滤和日志分析区分即可确保规则持久化且 auditd 正常运行临时规则在重启后失效，必须写入规则文件并重载：CentOS Linux 7.9.2009 CentOS Linux 7.9.2009是传统CentOS Linux 7的最后主要版本，也是很多企业历史服务器中仍可能遇到的系统版本。它以稳定、兼容RHEL 7生态、文档丰富和软件支持广泛著称，曾长期用于Web服务、数据库、虚拟化节点和企业内部业务系统。不过CentOS Linux 7已于2024年6月30日停止维护，现在继续使用会面临安全补丁缺失风险。该版本更适合旧业务迁移、历史环境恢复或离线兼容性测试。
下载
新建持久化规则文件：
echo "-w /var/log/ -p wa -k varlog_write" | sudo tee /etc/audit/rules.d/15-varlog.rules补全系统调用规则行（同上文件或另建）：echo "-a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat,truncate,ftruncate -k varlog_syscall" | sudo tee -a /etc/audit/rules.d/15-varlog.rules
重载全部规则：
sudo augenrules --load
验证是否生效：
sudo auditctl -l | grep varlog应看到对应规则；同时确认sudo systemctl status auditd为 active (running)，且sudo auditctl -s | grep enabled显示 enabled 为 1实时查看与定位可疑写入有了 `-k` 标签，就能高效过滤日志，无需翻遍整个 audit.log：查看最近 5 分钟所有匹配 varlog_write 的操作：ausearch -k varlog_write --start 5 minutes ago -m SYSCALL -i | aureport -f -i快速提取调用命令名（如 comm="rm"、comm="sh"）：ausearch -k varlog_write -m SYSCALL -i --start today | grep "comm="若发现异常，结合 pid 和 ppid 追溯父进程链：ausearch -p