Systém Linux Audit poskytuje způsob, jak sledovat bezpečnostní informace o vašem systému. Na základě předem nakonfigurovaných pravidel Audit generuje položky protokolu, které zaznamenávají co nejvíce informací o událostech, které se dějí ve vašem systému. Tyto informace jsou klíčové pro kritické prostředí s cílem zjistit, kdo porušil bezpečnostní politiku a jejich činnost. Audit neposkytuje dodatečnou bezpečnost systému; Spíše ji lze použít k odhalení porušení zásad zabezpečení používaných ve vašem systému. Tomuto porušení lze dále zabránit dalšími bezpečnostními opatřeními, jako je například SELinux.

Linux používá modul pam_tty_audit PAM k povolení nebo zakázání auditu vstupu TTY pro určité uživatele. Když se auditovaný uživatel přihlásí, pam_tty_audit zaznamená přesné úhozy, které uživatel provede do souboru /var/log/audit/audit.log. Modul pracuje s auditovaným démonem.


více https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Security_Guide/chap-system_auditing.html

Konfigurace PAM:
vim /etc/pam.d/password-auth
 
session     required      pam_tty_audit.so enable=*
vim /etc/pam.d/system-auth
 
session     required      pam_tty_audit.so enable=*

Ačkoli obsah audit.log je lidsky čitelný, může být snadnější použít nástroj aureport, který poskytuje zprávu TTY ve formátu, který je snadno čitelný. Jako root můžete použít příkaz:
aureport --tty

Vytvoření pravidel auditd:
vim /etc/audit/rules.d/audit.rules
 
# This file contains the auditctl rules that are loaded
# whenever the audit daemon is started via the initscripts.
# The rules are simply the parameters that would be passed
# to auditctl.
 
# First rule - delete all
-D
 
# Increase the buffers to survive stress events.
# Make this bigger for busy systems
-b 320
 
# Feel free to add below this line. See auditctl man page
 
-a always,exit -F arch=b64 -S execve
-a always,exit -F arch=b32 -S execve

Spouštění služby po restartu
chkconfig auditd on

Nastartování služby
sudo service auditd start