安装审计进程和远程日志

yum install rsyslog -y
yum install auditd -y

修改rsyslog.conf

vim /etc/rsyslog.conf

• 把日志发送到指定的IP，只需在文件中末尾加上

*.* @ip:端口  # *.*代表所有该文档中RULES中的所有日志文件
*.* @@ip:端口 # 两个@代表使用TCP传输，一个@代表使用UDP传输

• 重启rsyslog

systemctl restart rsyslog

配置rsyslog开机自启

systemctl enable rsyslog