在配置文件 ：/etc/audit/rules.d/audit.rules

# 监视sysconfig
-w /etc/sysconfig -p rwxa
# 监视审计配置文件
-w /etc/rsyslog.conf -p rwxa
-w /etc/audit/audit.rules -p rwxa 
-w /etc/audit/auditd.conf -p rwxa
# 监视密码文件
-w /etc/group -p wa
-w /etc/passwd -p wa
-w /etc/shadow -p rwxa
# 监视环境文件
-w /etc/profile -p wa
-w /etc/bashrc -p wa

重启服务

service auditd  restart

service auditd  start

service auditd  stop

查看服务状态

systemctl status auditd.service

查看已配置的规则

auditctl -l