Audit daemon（auditd）是一个用于Linux系统的系统审计服务，它可以记录系统调用和内核日志，以便于跟踪和监控用户活动、入侵尝试等，以下是在Alma Linux上使用Auditd进行系统审计的详细步骤：
1、安装Audit daemon
在Alma Linux上，可以使用yum包管理器来安装auditd，打开终端，输入以下命令：
sudo yum install y audit2、启动并启用Audit daemon
安装完成后，需要启动并启用auditd服务，输入以下命令：
sudo systemctl start auditd sudo systemctl enable auditd3、配置Audit daemon
Audit daemon的配置文件位于/etc/audit/auditd.conf，你可以使用文本编辑器（如vi或nano）来编辑这个文件。
sudo vi /etc/audit/auditd.conf在这个文件中，你可以设置各种审计规则，你可以设置audit_log_file参数来指定审计日志文件的位置，或者设置log_format参数来改变日志的格式。
4、添加审计规则
Audit daemon支持两种类型的审计规则：文件访问审计和系统调用审计，你可以通过编辑/etc/audit/rules.d/目录下的.rules文件来添加这些规则。
如果你想审计对/etc/shadow文件的访问，你可以创建一个名为w /etc/shadow p wa的规则，这个规则表示当有任何进程（p wa）写入（w）/etc/shadow文件时，Audit daemon会记录这个事件。
你可以使用以下命令来创建这个规则：
echo "w /etc/shadow p wa" | sudo tee a /etc/audit/rules.d/audit.rules5、检查审计日志
你可以通过查看/var/log/audit/audit.log文件来检查审计日志。
cat /var/log/audit/audit.log你也可以使用ausearch命令来搜索特定的审计事件，如果你想搜索所有与/etc/shadow文件相关的事件，你可以输入：
sudo ausearch f /etc/shadow6、分析审计日志
审计日志包含了很多有用的信息，如事件发生的时间、事件的源和目标、事件的结果等，你可以根据这些信息来分析系统的安全状况。
如果你发现有很多失败的登录尝试，那可能意味着有人在尝试破解你的系统，如果你发现有进程在不寻常的时间访问敏感文件，那可能意味着你的系统已经被入侵。
Audit daemon是一个非常强大的工具，可以帮助你保护你的系统免受攻击，它只是一个工具，你需要根据你的实际情况来配置和使用它。
