# vim /etc/security/access.conf添加以下内容：
......
+ : root : LOCAL
+ : zhumingyu : ALL
+ : @cron : ALL
- : ALL : ALL（
补充：这里以
1) 允许 root 用户使用本地的所有功能
2) 允许 zhumingyu 用户使用所有功能
3) 允许 cron 功能被所有用户使用
4) 其它所有的功能或用户都被禁止
为例
）
# vim /etc/pam.d/crond将部分内容修改如下：
......
#account required pam_access.so
......# service auditd restart# auditctl -s# chkconfig auditd on# chkconfig --list auditd# auditctl -l# vi /etc/audit/audit.rules删除里面的所有内容
# service auditd restart或者：
# augenrules# auditctl -D（补充：此操作重启后失效）
# auditctl -W <policy>（补充：此操作重启后失效）
# auditctl -d <policy>（补充：此操作重启后失效）
# cat /var/log/audit/audit.log# ausearch -f <file/directory># ausearch -k <key_name># aureport -k-w <file/directory> -p <previlege> -k <key_name>（
补充：
1) 文件名或目录名，需要绝对路径
2) 监控的权限，可以是 rwxa 其中的任意 1 个或多个，r 代表读权限、w 代表写权限，x 代表执行权限，a 代表文件类型
3) 此类日志的关键词
）
# auditctl -w <file/directory> -p <previlege> -k <key_name># vim /etc/audit/audit.rules添加以下内容：
......
-w <file/directory> -p <previlege> -k <key_name>（
注意：永久添加的规则后要重启 auditd 服务后才会生效
# service auditd restart或者：
# augenrules）
# auditctl -w /etc/nginx/nginx.conf（补充：这里以临时添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化的规则为例）
# auditctl -w /etc/nginx/nginx.conf -p rwxa -k 'nginx'（补充：这里以临时添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化，并设置关键词为 nginx 的规则为例）
-a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name>（
补充：
1) 和 用于确定事件被记录， 的值可以是 always 或者 never， 的值可以是 task、exit、user 或者 exclude
2) 是系统调用，Linux 系统调用的名称在 /usr/include/asm/unistd_64.h 文件中，可以将多个系统调用放在一个规则里，例：-S <system_call> -S <system_call> ……，或者 -S <system_call>,<system_call>……
3) 和 是过略条件，可以将多个过略条件放在一个规则里，-F <field>=<value> -F <field>=<value> ……
4) 是此类日志的关键词
）
# auditctl -a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name># vim /etc/audit/audit.rules添加以下内容：
......
-a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name>（
注意：永久添加的规则后要重启 auditd 服务后才会生效
# service auditd restart或者：
# augenrules）
# auditctl -a always,exit -S rmdir -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=unset -F auid!=4294967295 -k delete（补充：这里以临时监控所有 UID 大于 1000 的用户删除操作为例）
（注意：这里的 -F auid!=4294967295 是为了排除 login UID 没有被设置的用户）
# auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=unset -F auid!=4294967295 -k delete（补充：这里以临时监控所有 UID 大于 1000 的用户删除操作为例）
（注意：这里的 -F auid!=4294967295 是为了排除 login UID 没有被设置的用户）
# auditctl -a always,exit -F arch=b64 -S socket
# auditctl -a always,exit -F arch=b64 -S connect
# auditctl -a always,exit -F arch=b64 -S sendmmsg
# auditctl -a always,exit -F arch=b64 -S sendmsg
# auditctl -a always,exit -F arch=b64 -S bind
# auditctl -a always,exit -F arch=b64 -S recvmsg
# auditctl -a always,exit -F arch=b64 -S close（补充：这里以监控所有网络连接为例）
空设备，任何进入此文件的数据都会被删除，一般用于删除输出内容
# rm -f /dev/null;mknod /dev/null c 1 3;chmod 666 /dev/null二进制的零流，可以连续不断地产生二进制零流，一般用于对设备和文件进行初始化
# rm -f /dev/null;mknod /dev/zero c 1 5;chmod 666 /dev/null随机数流，可以连续不断地产生随机数流，一般用于清除机密数据，用随机的数据完全覆盖磁盘
# rm -f /dev/null;mknod /dev/random c 1 8;chmod 666 /dev/null# getcap /usr/bin/ping（补充：确认没有输出结果）
# sysctl net.ipv4.ping_group_range="0 2147483647"# setcap cap_net_raw+eip /usr/bin/ping# getcap /usr/bin/ping
/usr/bin/ping = cap_net_raw+eip# a=1
# b=2
# c=`expr $a + $b`
# echo $c
3或者：
# a=1
# b=2
# c=$(expr $a + $b)
# echo $c
3或者：
# a=1
# b=2
# c=$[`expr $a + $b`]
# echo $c
3（补充：这里以 1 加 2 等于 3 为例）
# a=1
# b=2
# let c=b/c
# echo $c
2（补充：这里以 2 除以 1 等于 2 为例）
# a=1
# b=2
# c=$(($a * $b))
# echo $c
3（补充：这里以 1 乘以 2 等于 3 为例）