我在我的Debian Jessie机器上安装了auditd和audispd-plugins ，并没有触及任何configuration。 我看到事件正在写入/var/log/audit/audit.log ，例如：
type=LOGIN msg=audit(1462384141.770:838): pid=3662 uid=0 old-auid=4294967295 auid=0 old-ses=4294967295 ses=21 res=1 type=USER_START msg=audit(1462384141.770:839): pid=3662 uid=0 auid=0 ses=21 msg='op=PAM:session_open acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success' type=CRED_DISP msg=audit(1462384141.778:840): pid=3662 uid=0 auid=0 ses=21 msg='op=PAM:setcred acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success' type=USER_END msg=audit(1462384141.778:841): pid=3662 uid=0 auid=0 ses=21 msg='op=PAM:session_close acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success' type=USER_ACCT msg=audit(1462384201.780:842): pid=3761 uid=0 auid=4294967295 ses=4294967295 msg='op=PAM:accounting acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success' type=CRED_ACQ msg=audit(1462384201.780:843): pid=3761 uid=0 auid=4294967295 ses=4294967295 msg='op=PAM:setcred acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success' type=LOGIN msg=audit(1462384201.780:844): pid=3761 uid=0 old-auid=4294967295 auid=0 old-ses=4294967295 ses=22 res=1 type=USER_START msg=audit(1462384201.780:845): pid=3761 uid=0 auid=0 ses=22 msg='op=PAM:session_open acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success' type=CRED_DISP msg=audit(1462384201.796:846): pid=3761 uid=0 auid=0 ses=22 msg='op=PAM:setcred acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success' type=USER_END msg=audit(1462384201.800:847): pid=3761 uid=0 auid=0 ses=22 msg='op=PAM:session_close acct="root" exe="/usr/sbin/cron" hostname=? addr=? terminal=cron res=success'
但是我不确定为什么我会在日志中看到任何东西，因为我没有定义任何规则：
$ auditctl -l No rules
我在/etc/audit/audit.rules或/etc/audit/rules.d找不到任何规则，除了默认值：
-D -b 320
显然我错过了一些东西。 什么是默认获取logging？
这些事件来自将审计事件发送给审计服务的其他function（pam，openssh等）。 如果您不想要任何事件，请将audit = 0添加到内核命令行参数中。
如果您想知道可能想要使用审计服务的function，请尝试类似的方法
[burn@fc24 ~]$ rpm -q --whatrequires audit-libs libsemanage-2.5-2.fc24.x86_64 shadow-utils-4.2.1-8.fc24.x86_64 pam-1.2.1-5.fc24.x86_64 util-linux-2.28-3.fc24.x86_64 openssh-7.2p2-9.fc24.x86_64 passwd-0.79-8.fc24.x86_64 gdm-3.20.1-3.fc24.x86_64 pam-1.2.1-5.fc24.i686 [burn@fc24 ~]$
缺省情况下，auditdlogging安全相关的命令。 这不是在configuration文件中可以看到的，在auditd运行时默认情况下会发生。 您可以使用以下命令获取最近在系统上logging的命令的摘要：
sudo aureport -x --summary
我一直无法find默认情况下logging的所有命令的列表。 我的CentOS 7系统默认logging这些（不是一个详尽的列表，只是日志中显示的内容）：
/usr/sbin/crond /usr/libexec/dovecot/auth /usr/sbin/sshd /usr/bin/sudo /usr/sbin/xtables-multi /usr/lib/systemd/systemd /usr/bin/passwd
它还logginglogin，注销和SELinux相关的消息。
两篇文章被用作参考：