## Instale o serviço Auditd
Para instalar o serviço auditd, execute o seguinte comando:
```
sudo yum instalar auditd
```
Configurar serviço Auditd
Depois que o serviço auditd estiver instalado, você pode configurá-lo editando o arquivo `/etc/audit/auditd.conf`.
Ativar serviço de auditoria
Para habilitar o serviço auditd, defina o parâmetro `enabled` como `1`.
```
[global]
habilitado =1
```
Definir caminho do arquivo de registro de auditoria e tamanho máximo
O parâmetro `log_file` especifica o caminho para o arquivo de log de auditoria e o parâmetro `max_log_file` especifica o tamanho máximo do arquivo de log de auditoria.
```
[global]
log_file =/var/log/audit/audit.log
max_log_file =50 milhões
```
Configurar regras de auditoria
As regras de auditoria definem quais eventos devem ser registrados pelo serviço auditd. Você pode configurar regras de auditoria adicionando-as ao arquivo `/etc/audit/audit.rules`.
O exemplo de regra a seguir registrará todas as tentativas de login malsucedidas:
```
-w /var/log/faillog -p wa -k logins
```
Reiniciar serviço de auditoria
Depois de fazer alterações na configuração do auditd, você deverá reiniciar o serviço auditd para que as alterações entrem em vigor.
```
sudo systemctl reiniciar auditd
```
Verificar serviço de auditoria
Para verificar se o serviço auditd está em execução, execute o seguinte comando:
```
sudo systemctl status auditado
```
Se o serviço auditd estiver em execução, você verá uma saída semelhante a esta:
```
● auditd.service - LSB:iniciar/parar serviço de auditoria Linux
Carregado:carregado (/etc/rc.d/init.d/auditd)
Ativo:ativo (em execução) desde qui 2021-06-10 09:23:07 UTC; 2s atrás
Documentos:man:systemd-sysv-generator(8)
PID principal:16252 (auditoria)
Tarefas:1 (limite:11347)
Grupo CG:/system.slice/auditd.service
├─16252 auditado
└─16258 dormir
10 de junho 09:23:07 rockylinux auditd [16252]:auditd_start:inicializando o serviço de auditoria do kernel
10 de junho 09:23:07 rockylinux auditd [16252]:auditd_configure:configurando o filtro auditd para regras em /etc/audit/audit.rule
```
