`auditd` (сокращение от *Linux Audit Daemon*) — фоновый компонент логирования *Linux Auditing System*, работает в userspace. Правила аудита настраиваются файлами в папке `/etc/audit/audit.rules` на локальном узле Linux. Конфигурация в операционной системе настраивается в файле `/etc/audit/auditd.conf`. Для управления службой аудита используйте инструмент ОС `auditctl`.

Плагин `auditd` извлекает и нормализует информацию из логов службы аудита Linux:

 - отметку времени события;
 - тип и источник события;
 - изменения в файлах конфигурации;
 - попытки доступа к логам аудита;
 - все события аутентификации и действий с аутентифицированными пользователями;
 - изменения важных файлов, например, `/etc/passwd`;
 - прочие события.
