前提：相關services均有重啟、確認status正常、均使用root、Red Hat 7.9 & 8.6。
vi /etc/audit/rules.d/audit.rules
底下有加了：-w /tmp/test -p wa -k audit_check
手動執行都正常：
ausearch -ts today -k audit_check > /var/log/audit_check/audit_check.log
當/tmp/test內有異動會寫入到audit_check.log
但我用crontab設定：
xx xx * * * ausearch -ts today -k audit_check > /var/log/audit_check/audit_check.log
結果audit_check.log的內容反而變成空的(非無輸出，會被蓋掉)，請問為何?
其它嘗試(一樣手動跑shell可以、但透過crontab就不行)：
xx xx * * * sh /root/audit_check.sh
#!/bin/bash
PATH=/usr/sbin:/sbin:/usr/bin:/bin
/usr/sbin/ausearch -ts today -k audit_check > /var/log/audit_check/audit_check.log