系统常识 银河麒麟安全审计审计日志合规
麒麟安全审计记录哪些操作
麒麟安全审计默认关注哪些操作（登录、提权、关键文件访问等），审计日志在哪、怎么查，以及按行业规范扩充审计范围的原则。
发布于 2026/11/11
所属频道 银河麒麟
结论先行
安全审计通常覆盖「登录/登出、sudo 提权、账号变更、关键文件与配置访问、网络配置变更」这几类操作，日志落在审计子系统（audit）与系统日志里。具体审计规则范围按行业规范定，本文给位置与查法，合规要求以项目规范为准。
审计通常记录什么
| 类别 | 典型操作 |
|---|---|
| 登录 | 本地/SSH 登录成功与失败 |
| 提权 | sudo 执行与 sudo 配置变更 |
| 账号 | 用户/组/密码变更 |
| 关键文件 | 账号数据库、策略文件被读写 |
| 网络 | 网卡/路由/防火墙配置变更 |
参考条目：高级服务器 V11 x86-64、桌面版 V11 x86-64，默认审计策略以条目页说明为准。
日志位置与查询
# audit 日志（启用 auditd 时）
ausearch -m AUTH | tail
ausearch -m EXEC -ts today
# 系统日志
journalctl | grep -i 'sshd\|sudo'
# 传统位置
/var/log/secure、/var/log/messages- 审计规则文件通常在
/etc/audit/rules.d/，规则随启动加载；改完规则要重载。 - 审计日志要防篡改：关键场景把审计日志远程外送集中存储，本机被破坏时仍可追溯。
审计开多大范围（哪些路径、哪些系统调用）直接影响性能与日志量，按行业规范的审计要求逐项落实，不凭感觉加。
常见误操作
- 审计日志只留在本机，主机失陷后证据一起丢。
- 审计范围配了没重载，规则不生效。
- 磁盘日志写满把审计截断，没配外送与轮转（另见「审计日志写满」排查思路）。