12.2. 审计系统架构

审计系统由两个主要部分组成：用户空间应用程序和工具，以及内核端系统调用处理。内核组件接收用户空间应用程序的系统调用，并通过以下过滤器对其进行过滤：user、task、fstype 或 exit。

系统调用传递 exclude 过滤器后，它将通过上述中的一个过滤器发送，该过滤器根据审计规则配置，将其发送到审计守护进程以进行进一步处理。

用户空间审计守护进程从内核收集信息，并在日志文件中创建条目。其他审计用户空间工具与审计守护进程、内核审计组件或审计日志文件进行交互：

在 RHEL 9 中，Audit 分配程序守护进程(audisp)功能集成到 Audit 守护进程中(auditd)。用于实时分析程序与审计事件交互的插件配置文件默认位于 /etc/audit/plugins.d/ 目录中。