Архитектура ошибки и симптомы сбоя

Сообщение «audit: backlog limit exceeded, audit messages dropped» генерируется подсистемой аудита безопасности ядра Linux (Linux Audit Subsystem / KAUID). При генерации событий безопасности (SELinux denials, системные вызовы execve, модификации файлов) ядро складывает события во внутреннюю очередь (Netlink Queue) для передачи демону auditd. Если очередь переполняется (превышен audit_backlog_limit), а политика audit_failure установлена в режим 1 (printk) или 2 (panic), ядро начинает терять события безопасности или полностью зависает.

Диагностическая таблица параметров сбоя

Пошаговое дерево решений и сценарии траблшутинга

Сценарий 1: Проверка текущего статуса подсистемы аудита

# Просмотр параметров и заполненности очереди audit:
sudo auditctl -s

# Обратите внимание на строки: 'backlog', 'backlog_limit', 'lost'.
# Если 'lost' растет, ядро сбрасывает события аудита!

Сценарий 2: Горячее увеличение размера очереди backlog и сброс ожидания

# Увеличение лимита очереди до 32768 сообщений:
sudo auditctl -b 32768

# Отключение задержки ожидания (предотвращает зависание системных вызовов fork/exec):
sudo auditctl --backlog_wait_time 0

Сценарий 3: Закрепление параметров в audit.rules и параметрах загрузки GRUB

Отредактируйте конфигурацию /etc/audit/rules.d/audit.rules:

# В начале файла правил:
-D
-b 32768
--backlog_wait_time 0
-f 1

# Перезапустите службу аудита:
sudo augenrules --load
sudo systemctl restart auditd

Для защиты системы на этапе ранней инициализации добавьте параметр в /etc/default/grub:

GRUB_CMDLINE_LINUX="audit=1 audit_backlog_limit=32768 audit_backlog_wait_time=0"
sudo update-grub