Какие преимущества и недостатки имеет использование auditd в Linux?

Преимущества использования auditd в Linux:

• Работа на низком уровне мониторинга. habr.com Инструмент отслеживает системные вызовы и действия с файлами. habr.com
• Наличие набора утилит для удобства работы. habr.com Например, auditctl для управления демоном auditd, autrace для аудита событий, порождаемых процессами, ausearch для поиска событий в журнальных файлах и aureport для генерации отчётов о работе системы аудита. selectel.ru
• Постоянное развитие и обновление. habr.com
• Бесплатность и лёгкость установки. habr.com

Недостатки использования auditd в Linux:

• Большинство событий, возникающих при атаках, характерных для конкретного приложения, практически невозможно отслеживать. habr.com На уровне системных вызовов и работе с файлами трудно отличить взлом от нормальной работы приложения. habr.com
• Auditd может замедлять работу ОС. habr.com Это связано с тем, что подсистеме аудита необходимо проводить анализ системных вызовов. habr.com
• Не слишком гибок в настройке правил. habr.com
• Не лучший инструмент для работы с контейнерами. habr.com