常见问题 银河麒麟审计日志缓冲区
审计日志写满或丢失？
麒麟审计日志写满磁盘 / 记录丢失：缓冲区溢出、轮转不当、日志分区规划不足。给出查溢出记录、调缓冲、补轮转的策略。
发布于 2026/11/11
所属频道 银河麒麟
简短答案
审计”写满或丢失”方向相反但都要先定位是丢在哪一环：缓冲区溢出（写不进内核）、轮转截断（旧日志被删）、分区写满（新日志写不下）。合规环境优先保全记录，清理要留痕。
| 现象 | 原因 | 处理 |
|---|---|---|
日志里有 user_end 前突然没记录 |
分区写满 | 扩容或轮转 |
有 buffer overflow 记录 |
内核缓冲太小 | 调大 back_log |
| 历史日志缺失 | 轮转误删 | 改轮转策略并外发归档 |
怎么排查
# 1. 查溢出记录
sudo ausearch -m avc,USER_END | tail
grep -i overflow /var/log/audit/audit.log
# 2. 看缓冲与队列
sudo auditctl -s
# 3. 看审计分区占用
df -h /var/log
# 4. 调大缓冲（重启前有效）
sudo auditctl -b 8192- 审计轮转与归档策略按行业规范执行，参考 麒麟 V11 服务器版 发行说明。
- 合规环境审计日志建议外发归档（异地备份），单靠本机磁盘不满足留存要求。
- 桌面端审计范围参考 麒麟 V11 桌面版，行为以 银河麒麟 条目为准。
操作小结
- 先分清丢在哪一环。
- 合规环境日志外发归档。
- 调缓冲 + 扩分区双管齐下。