1.系统右击打开终端确认是否开启auditd服务命令如下systemctl status auditd 如果看到绿色的active(running)即为服务已开启2.在终端中输入以下命令确认服务是否开机自启:systemctl is-enabled auditd 如果返回结果为enabled即为开机自启3、添加audit规则并存⼊规则表此次以/home/kylin/app目录为例:auditctl -a always,exit -F archb64 -S unlink -S unlinkat -S rmdir -S rename -S renameat -F dir/home/kylin/app -k app_disappear_monitor命令解读:设置audit监控路径为/home/kylin/app⽬录当任何程序64位在/home/kylin/app目录及其所有子目录下执行删除文件、删除目录、移动/重命名文件或目录的操作时审计系统都会记录一条日志并打上app_disappear_monitor标签方便后续追踪排查注意这里我们用-S unlink -S unlinkat -S rmdir -S rename -S renameat监控这5个系统调用覆盖了文件/目录消失的所有底层操作。而不是使用-p设置监控权限r读w写x执行a 属性变更是因为当业务跑起来时任何业务的写入、执行等操作都会被记录会产生大量的无用日志占用较大的空间4.终端执行以下命令将对该目录的监控命令保存至配置文件中:sed -i $ a -a always,exit -F archb64 -S rename,rmdir,unlink,unlinkat,renameat -F dir/home/kylin/app -F keyapp_disappear_monitor /etc/audit/audit.rules5.终端执行以下命令重启该服务:systemctl restart auditd6.通过该命令可以查看是否配置生效:auditctl -l 查看最后一行是否有-a always,exit -F archb64 -S rename,rmdir,unlink,unlinkat,renameat -F dir/home/kylin/app -F keyapp_disappear_monitor有则代表配置成功7.当文件被删除的问题复现后可以通过该命令查看日志:ausearch -k app_disappear_monitor8.日志解读例1执行rm -rf three删除文件再通过ausearch -k app_disappear_monitor查看事件事件背景事件发生在Thu Mar 26 17:32:20 2026时间戳为1774517540.848。系统调用信息系统调用类型:syscall263对应unlinkat用于删除文件或目录。返回值:successyes且exit0表示操作成功。执行进程: 进程名为rm路径为/bin/rm由用户uid0root执行。操作行为命令参数:proctitle726D002D7266007468726565该十六进制解码为rm -rf three表示强制删除名为three的文件或目录。操作路径:当前工作目录为/home/kylin/app/first删除的目标是three路径为/home/kylin/app/first/three。文件信息删除的文件:namethree类型为nametypeDELETE表示被删除。文件权限为0100644普通文件权限644属主和属组均为rootouid0 ogid0。父目录:name/home/kylin/app/first类型为PARENT权限为040755目录权限755。审计上下文审计键:keyapp_disappear_monitor表明此事件被特定的审计规则监控。用户会话:用户auid1000初始用户通过sudo或su提权到rootuid0。会话 ID 为ses20终端为pts1例2执行mv * /opt将app目录下的内容移至/opt目录下再通过ausearch -k app_disappear_monitor查看事件事件背景日志记录了两条审计事件时间戳均为Thu Mar 26 17:42:30 2026涉及mv命令的操作。用户kylinUID1000通过sudo或类似方式以root身份UID0执行了文件移动操作。第一条事件ID: 312操作内容命令mv first /opt将文件first从/home/kylin/app移动到/opt目录。文件first的原始权限为040755目录或可执行文件属主和属组均为root。关键字段SYSCALL系统调用号为82对应rename系统调用操作成功successyes。PATHitem3新路径/opt/first被创建nametypeCREATE。item2旧路径first被标记为删除nametypeDELETE。父目录为/opt/权限040775和/home/kylin/app权限040755。第二条事件ID: 313操作内容命令mv hello /opt将文件hello从/home/kylin/app移动到/opt目录。文件hello的权限为0100644普通文件权限644属主和属组均为root。关键字段SYSCALL同样使用rename系统调用操作成功。PATHitem3新路径/opt/hello被创建。item2旧路径hello被标记为删除。父目录与第一条事件相同。