linux - 审计积压挂起 linux 服务器？

Question

我正在使用运行实时多线程进程的 centos 7 服务器。在连续运行 2 或 3 天后，服务器进入卡住状态并且无法访问它。有一次我幸运地登录并看到了 CPU

[564378.509785] audit_log_start: 14 callbacks suppressed    
[564678.515440] audit: audit_backlog=65 > audit_backlog_limit=64    
[564678.522037] audit: audit_lost=22 audit_rate_limit=0 audit_backlog_limit=64    
[564678.529822] audit: backlog limit exceeded

是否有可能某些线程/进程被挂起并且由于 auditd 无法记录事件？

Answer 1

文件系统似乎卡在了卡住状态。根本问题可能有不同的根源。

您可以尝试通过检查其他日志来查找问题，例如您可以使用

aureport --start today(any date you are interested in)

另外尝试调整你的配置

-b
sets the maximum amount of existing Audit buffers in the kernel, for example:

您可能需要通过编辑 /etc/audit/audit.rules 文件来增加此配置选项，例如将其更改为 -b 8192。

还可以通过修改 priority_boost 选项来帮助提高 /etc/audit/auditd.conf 文件中的优先级。