如何通过Auditd规则实时监控并有效拦截对系统影子文件的非法读写操作？

本文共计837个文字，预计阅读时间需要4分钟。

Auditd 本身不提供阻止行为的能力，它是一个审计与记录工具，而不是访问控制或入侵防御系统（如 SELinux、AppArmor 或 fail2ban）。其核心作用是精确捕捉非法读取等敏感操作，并留下不可依赖的内核级日志，为源代码、告警和后续响应提供依据。

所谓实时捕捉并阻止，意味着通过 auditd 实时捕捉非法读取行为，然后将其转换为告警或联动外部工具（如脚本拦截、服务重启、IP屏蔽等）来实现阻止效果。具体流程为：

下面分三步说明如何落地：

一、用 -w 规则捕获 /etc/shadow 的所有读取行为

`/etc/shadow` 是只允许 root 读写的敏感文件，任何非 root 用户或进程的读取都属异常。auditd 支持监控“读”（r）权限，但需注意： - 单纯 `-p r` 可能产生大量噪音（如 root 自身的合法读取）； - 更实用的是结合 `auid`（原始登录用户ID）过滤，区分“谁真正发起请求”。