审计积压挂起linux服务器？

Question

我正在使用运行实时多线程进程的 centos 7 服务器。继续运行 2 或 3 天后，服务器进入冻结状态，无法访问它。有一次我幸运地登录并看到了 CPU

[564378.509785] audit_log_start: 14 callbacks suppressed    
[564678.515440] audit: audit_backlog=65 > audit_backlog_limit=64    
[564678.522037] audit: audit_lost=22 audit_rate_limit=0 audit_backlog_limit=64    
[564678.529822] audit: backlog limit exceeded

是否有可能像某些线程/进程被挂起并且由于 auditd 无法记录事件？

Answer 1

文件系统似乎陷入了冻结状态。潜在的问题可能有不同的根源。

您可以尝试通过检查其他日志来查找问题，例如您可以使用

aureport --start today(any date you are interested in)

另外尝试调整您的配置

-b
sets the maximum amount of existing Audit buffers in the kernel, for example:

您可能需要通过编辑/etc/audit/audit.rules 文件来增加此配置选项，例如将其更改为-b 8192。

还可以通过修改priority_boost 选项来提高/etc/audit/auditd.conf 文件的优先级。