用途：审计一台运行中的 Linux 主机（或其配置即代码）是否产生、保留、保护并能暴露安全遥测。检查为只读，变更命令仅出现在修复阶段；需 root 的命令标记 [ROOT]，无 root 时只审计全局可读状态与配置仓库，并说明哪些证据不完整。仅能访问仓库时，按配置模板判断实际渲染结果，因为镜像构建常剥离 rsyslog/auditd。发行版差异需内联说明，先检测（cat /etc/os-release），Debian 系与 RHEL 系在文件名、包名与 AIDE 流程上不同。
主要能力（八个域，按优先级）：
- 采集与持久化：journald 的 Storage= 模式（volatile 仅内存，重启即丢）、rsyslog 是否存在及经典认证日志（Debian 系 /var/log/auth.log，RHEL 系 /var/log/secure）。
- 轮转与余量：logrotate 覆盖、journald 容量上限、/var/log 磁盘与 inode 余量。
- 事件覆盖：认证、sudo、身份变更、cron 编辑、包操作、防火墙丢包、内核、崩溃循环、应用层认证失败等必须记录的事件清单。
- 内核层遥测：auditd 是否安装运行、是否加载基线规则（身份、sudoers、sshd_config、时间变更），及其轮转与空间存活策略。
- 完整性监控：AIDE 基线加周期检查（或 osquery）、webroot 监视、数据库更新纪律。
- 主机外发送：rsyslog 转发规则、journald→rsyslog 链路、厂商采集代理的 glob 覆盖；仅本地留存即为发现项。
- 保留与权限：热保留下限、WORM/对象锁、认证日志属主与权限。
- 响应接线：最小告警集会落在被监控主机无法关闭的带外系统，以及有序的事件分诊快速指引。
范围外（交叉引用）：防火墙丢包日志规则设计属 FW；sshd/PAM/sudo 策略内容属 BASE；证书过期机制属 TLS；应用代码日志注入属 INJECTION；密钥泄露进日志属 HSECRET；补丁级别属 PATCH；超出本模块基线集合的审计规则编写仍留在本模块。
运维规则：所有检查只读；发行版差异内联标注；无遥测的发现按 EXPOSURE 评分，同一缺口在公网主机上高于内网主机。评分基于两条公理：仅本地日志可被攻击者清除，因此仅存在于受害机的证据取证价值近乎为零；未被阅读的日志等于未写日志，没有告警路径的覆盖无法发现任何东西。
适用场景：单台 Linux 服务器的日志与入侵检测基线审计，尤其面向公网暴露主机、堡垒机、PKI、目录服务器等高完整性资产。
限制：资料未提供安装命令与具体运行方式；审计对象限于单台主机或其配置即代码，规则编写仅限基线集合；auditd 的 -e 2 不可变锁会锁定内核审计子系统直到重启，启用前须告知所有者并记入运行手册。