![Windows 中相当于 Unix/Linux 中“审核日志已清除”事件的是什么?](https://linux22.com/image/137483/Windows%20%E4%B8%AD%E7%9B%B8%E5%BD%93%E4%BA%8E%20Unix%2FLinux%20%E4%B8%AD%E2%80%9C%E5%AE%A1%E6%A0%B8%E6%97%A5%E5%BF%97%E5%B7%B2%E6%B8%85%E9%99%A4%E2%80%9D%E4%BA%8B%E4%BB%B6%E7%9A%84%E6%98%AF%E4%BB%80%E4%B9%88%EF%BC%9F.png)
Windows 有EventID 1102“审核日志已清除”。 Unix/Linux 中等效的审计事件是什么?
如果有人有示例事件,并且知道需要配置哪些审核策略才能获取此事件,也请发布该事件。
答案1
没有:审核日志是一个可以删除的文本文件。但是,如果将auditd配置为从初始启动时运行,则auditd无法停止,并且将继续写入其打开的文件描述符。如果将auditd配置为监视其输出日志,那么这将记录删除(尽管您必须恢复文件才能查看信息)。
通常(在最终用户系统上),auditd 配置为记录“安全事件”(登录/注销),但可以被告知监视文件的更改。没有什么具体的 (例如) /var/log/audit/auditd.log
,但您可以建立一个手表如手册页中所述。
进一步阅读: