安装日志审计服务 audit

yum install audit

2. 启动 audit后台守护进程auditd

systemctl start auditd
systemctl enable auditd
systemctl status auditd

audit配置文件路径

/etc/audit/auditd.conf

从配置文件可见，审计日志存储路径是

/var/log/audit

3. 远程异地备份（每天凌晨3点定时）

首先要实现本机能够ssh免密登录到远程日志服务器，不详述。

然后需要结合rsync命令实现日志远程备份，以下是具体操作：

先创建初始文件夹

mkdir /data
mkdir /var/log/audit_rsync

远程增量同步shell：

#!/bin/bash
for file in `find /var/log/audit/* -name "audit.log.*"| xargs ls -rt`
do
    riqi=`stat $file |grep 'Modify'|awk -F'["：| "]+' '{print $2}'`
      if [ -z "$riqi" ]; then
          riqi=`stat $file |grep '最近更改'|awk -F'["：| "]+' '{print $2}'`
      fi
      bakfile="bak_audit"$riqi".log"
    rsync -avz $file root@<远程日志服务器IP地址>:/data/audit/$bakfile
done
echo "执行日期："`date -d today +"%Y%m%d"` >> /var/log/audit_rsync/rsync.log

4.添加到crontab定时任务

crontab -e
# 添加内容如下
0 3 * * * sh <shell脚本所在绝对路径>/audit_rsync.sh

CentOS审计日志和远程异地备份