如何通过Auditctl在Linux上设置对特定UID用户进行的所有文件操作审计？

本文共计979个文字，预计阅读时间需要4分钟。

要监控特定UID用户的所有文件操作，不能仅依赖路径监控，而必须使用系统调用规则进行过滤。以下是实现这一功能的步骤：

核心思路是：捕获该 UID 执行的 openat, open, creat, unlink, rename, chmod, chown, truncate 等关键文件相关系统调用，并打上可识别的 key 标签，便于后续日志检索。