解决方法

要配置 auditd 以记录所有用户命令，执行以下操作：

1. 使用yum安装审计包：

# yum install audit

2. 开机时自动启动auditd服务：

# chkconfig auditd on

3. 将以下行添加到 /etc/audit/audit.rules 。

# vi /etc/audit/audit.rules
-a exit,always -F arch=b64 -S execve
-a exit,always -F arch=b32 -S execve

4. 启动服务：

# service auditd start

通过这种方式，auditd 默认将所有用户命令记录到 /var/log/audit/audit.log。
我们可以通过编辑“/etc/audit/auditd.conf”来更改配置。

问题

如何记录使用或者不使用 sudo 执行的每个用户命令并将此日志转发到中央日志文件？