用途：通过内核审计子系统回答“谁在何时做了什么”，用于合规与取证归因。适用于添加/列出/删除 auditctl 规则、将规则持久化到 /etc/audit/rules.d/、用 -w 监视文件或用 -a always,exit 监视系统调用、用 ausearch/aureport 追溯变更、设置不可变模式（-e 2）以及调整日志轮转与缓冲区。
主要能力：两发行版家族共用同一守护进程与语法，仅安装步骤和预置合规规则来源不同。Debian/Ubuntu 用 apt install auditd audispd-plugins；RHEL 系用 dnf install audit（通常预装）。规则目录、augenrules --load、/etc/audit/auditd.conf、/var/log/audit/audit.log 均相同。RHEL 系还可通过 ausearch -m AVC 查看 SELinux 拒绝事件。
使用方式：默认只读，先读取/搜索现有规则、状态、日志与报告。运行时规则示例：sudo auditctl -w /etc/passwd -p wa -k identity；sudo auditctl -a always,exit -F arch=b64 -S execve -F euid=0 -k root_exec。持久化写入 /etc/audit/rules.d/ 后执行 sudo augenrules --load。查询用 sudo ausearch -k sudoers -i、sudo aureport -k --summary。auid= 可跨 su/sudo 保留原始登录用户，便于归因。
限制与注意：运行时规则重启后消失，必须持久化；每条规则应带描述性 -k 键；避免对高频文件审计读操作，防止 backlog 溢出与丢事件；auditctl -s 显示 lost 非零时需增大缓冲区或收窄规则；-e 2 不可变模式需重启才能恢复，须单独审批；日志应外送，因 root 可删除本地日志。资料未提供具体收费、价格或平台信息。