常见问题 银河麒麟审计auditd日志
审计日志没记上？
麒麟审计子系统没记上操作：auditd 服务没起、规则没下发、缓冲区满、日志被截断。给出检查服务、规则、缓冲区的步骤。
发布于 2026/11/11
所属频道 银河麒麟
简短答案
审计没记上九成是服务 / 规则 / 缓冲区三者之一断了。按”服务起没起 → 规则下没下 → 缓冲满没满”顺序查，任一断点都会让日志缺失。
| 现象 | 原因 | 处理 |
|---|---|---|
auditd 服务未运行 |
服务没启 | 启动并设开机自启 |
服务起但 auditctl -l 没规则 |
规则没下发 | 重新加载规则文件 |
buffer overflow 日志 |
缓冲区太小 | 调大 back_log |
| 日志被截断 | 轮转策略错 | 调审计轮转配置 |
怎么排查
# 1. 看服务状态
systemctl status auditd
# 2. 看规则
sudo auditctl -l
# 3. 看日志
tail /var/log/audit/audit.log
# 4. 看缓冲
sudo auditctl -s
# 5. 重启加载规则
sudo service auditd restart- 审计规则要覆盖哪些操作按行业规范执行，参考 麒麟 V11 服务器版 发行说明默认项。
- 桌面端审计范围与策略见 麒麟 V11 桌面版。
- 审计日志是合规项，不能为省空间直接关。
操作小结
- 服务 → 规则 → 缓冲，顺序排查。
- 规则覆盖按行业规范。
- 缓冲满时先调大再观察，别直接关审计。