在Linux系统中开启日志审计通常涉及以下步骤：

安装审计工具

确保您的Linux系统已安装了`auditd`（审计守护进程）软件包。如果没有安装，可以使用适合您的Linux发行版的包管理器来安装它。例如，在Ubuntu上可以使用以下命令：

```bash

sudo apt-get install auditd

```

启用审计服务

在大多数Linux发行版中，审计服务默认已启用。您可以使用以下命令来检查审计服务的状态：

```bash

systemctl status auditd

```

如果服务没有运行，可以使用以下命令启动它：

```bash

sudo systemctl start auditd

```

配置审计规则

审计规则用于定义需要记录的系统活动。您可以通过编辑审计规则文件来配置这些规则。在大多数Linux发行版中，审计规则文件位于`/etc/audit/audit.rules`。您可以使用文本编辑器（如vi或nano）打开该文件进行编辑。

例如，如果您只想记录特定目录或文件的访问，可以使用以下规则示例将其添加到文件中：

```bash

-w /path/to/directory -p wa

```

如果您想记录用户或进程的活动，可以使用以下规则示例：

```bash

-a entry,always -S execve -F uid=0

```

您可以根据需要添加其他审计规则。添加完规则后，保存并关闭文件。

存储和查看审计日志

审计日志通常存储在`/var/log/audit/audit.log`文件中。您可以使用`tail`、`grep`、`less`等命令来查看和分析日志。

如果日志文件非常大，可以考虑将其归档或旋转，以便更有效地管理存储空间。

过滤和搜索审计记录

使用`ausearch`和`aureport`等工具来过滤和搜索审计记录。例如，要列出所有用户登录事件，可以使用以下命令：

```bash

sudo aureport --login

```

要搜索所有与密码更改相关的事件，可以使用以下命令：

```bash

sudo ausearch -k password_changes

```

通过以上步骤，您可以在Linux系统中成功开启并配置日志审计功能。根据您的具体需求，您还可以进一步自定义审计规则和日志存储位置。