步骤一：使用 audit 监控文件或目录
1.1 在 audit 的策略里添加要监控的目录或文件
1.1.1 案例一：监控某个目录以及目录下的目录和文件
# vim /etc/audit/rules.d/audit.rules添加以下内容：
......
-a exit,always -F dir=/tmp -F perm=rwxa（补充：这里以监控目录 /tmp 里的目录和文件为例）
1.1.2 案例二：监控某个文件
# vim /etc/audit/rules.d/audit.rules添加以下内容：
......
-a exit,always -S unlink -S unlinkat -S rmdir -S rename -S renameat -F path=/dev/null（补充：这里以监控目录 /dev/null 文件为例）
1.2 让监控目录或文件的配置生效
# service auditd restart步骤二：显示 audit 监控记录
# cat /var/log/audit（
补充：记录里的
1) nametype=CREATE 字段代表创建
2) nametype=NORMAL 字段代表普通
3) nametype=DELETE 字段代表删除
）
或者：
# sudo ausearch -i -k user-modify（补充：这里以显示文件被修改的记录为例）