AI审计辅助配置：从零搭建审计日志与告警流程

AI审计辅助配置的核心是先把审计日志采全、规则配对，再让AI工具读取这些结构化数据做分析。
如果日志缺失或格式混乱，AI辅助审计就无从下手。
下面按零基础可操作的方式，从环境准备到效果验证走一遍。

先确认审计对象和日志来源

配置前先明确你要审计什么：登录行为、文件变更、命令执行还是网络访问。
不同对象对应不同日志。

常见日志来源：

• Linux登录审计：/var/log/secure（CentOS/RHEL）或 /var/log/auth.log（Debian/Ubuntu）
• 命令执行审计：auditd 服务，日志在 /var/log/audit/audit.log
• Web访问审计：Nginx或Apache的access日志
• 文件完整性：aide 或 auditd 的文件监控规则

零基础用户建议先从登录审计和命令审计入手，这两类日志最常用，配置也相对简单。

检查日志是否在正常写入：

sudo tail -f /var/log/secure

如果文件不存在，先确认系统类型，再换对应路径。
日志持续有新内容说明采集正常。

安装并启用auditd采集命令审计

auditd 是Linux自带的审计框架，用来记录系统调用和文件访问。
大多数发行版默认未启用。

安装命令：

# CentOS/RHEL
sudo yum install audit -y
# Debian/Ubuntu
sudo apt install auditd -y

启动并设置开机自启：

sudo systemctl enable auditd
sudo systemctl start auditd

验证状态：

sudo systemctl status auditd

看到 active (running) 即表示服务正常。

接着添加一条监控规则，例如监控 /etc/passwd 的修改：

sudo auditctl -w /etc/passwd -p wa -k passwd_change

参数说明：-w 指定监控路径，-p wa 表示写和属性变更，-k 是规则标签。

测试规则是否生效：

sudo touch /etc/passwd

然后查看审计日志：

sudo ausearch -k passwd_change

能看到刚才的操作记录，说明采集链路通了。

配置日志转发给AI审计工具

AI审计辅助工具通常需要读取集中日志。
如果工具部署在另一台机器，需要用rsyslog或filebeat把日志转发过去。

以rsyslog转发audit日志为例，在客户端编辑：

sudo vi /etc/rsyslog.conf

在文件末尾添加：

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag audit:
$InputFileStateFile stat-audit
$InputFileSeverity info
$InputFileFacility local6
$InputRunFileMonitor
local6.* @@审计服务器IP:514

保存后重启服务：

sudo systemctl restart rsyslog

在审计服务器上确认514端口监听：

sudo ss -tulnp | grep 514

如果使用filebeat，在filebeat.yml中配置paths指向审计日志路径，输出到目标地址，然后启动服务即可。

设置规则匹配与告警阈值

日志集中后，需要配置规则让AI工具知道哪些行为算异常。
常见规则包括：

• 同一IP连续登录失败超过5次