用途：在 Linux 主机上利用 auditd 内核级审计，调查可疑未授权访问或权限提升、搜寻漏洞利用与后门/持久化证据、满足 CIS/STIG/PCI-DSS 等系统调用监控合规要求、重建攻击时间线、检测 /etc/passwd、/etc/shadow、SSH 密钥等关键文件篡改。不适用于网络层入侵检测，网络流量分析应使用 Suricata 或 Zeek。
主要能力：通过 auditctl 配置并查看规则；在 /etc/audit/rules.d/ 部署针对凭据文件、sudoers、SSH 配置与 authorized_keys、用户管理命令、ptrace 进程注入、/tmp 与 /dev/shm 执行、内核模块加载、socket/connect 反向 shell、cron 持久化、日志篡改的规则；用 ausearch 按消息类型、用户、文件、key、时间范围或事件 ID 查询；用 aureport 生成认证、失败事件、可执行文件、异常、文件访问、按 key/用户/系统调用的汇总报告；结合查询重建时间线；通过 audisp-remote 或 Auditbeat 转发日志至 SIEM。
使用方式：先确认 systemctl status auditd、auditctl -l、auditctl -s，必要时用 auditctl -b 8192 增大 backlog；编辑规则后执行 augenrules --load 并核对规则数；随后用 ausearch、aureport 查询与汇总，按时间窗口串联事件。
限制：需 root 或 sudo 权限；需预先部署审计规则；需足够日志保留空间（默认 /var/log/audit/audit.log）；需熟悉 execve、open、connect、ptrace 等系统调用；规则应写入 /etc/audit/rules.d/ 以在重启后持久化。具体收费、价格与平台支持信息暂未提供。