ausearch

查询 Linux 审计日志

补充说明

ausearch 按事件类型、时间、用户、进程和 key 查询 auditd 日志。它常用来定位 SELinux 拒绝、权限变更和可疑执行。

常用示例

ausearch -m avc -ts recent
ausearch -m avc -ts today
ausearch -k passwd_changes
ausearch -k exec -ts '2026-10-18 09:00:00'
ausearch -p 1234
ausearch -ui 1000
ausearch -m USER_LOGIN
ausearch -i -m avc -ts recent
ausearch --raw -m avc -ts recent

常见事件类型

AVC        SELinux 拒绝
USER_LOGIN 用户登录
USER_AUTH  认证
EXECVE     命令执行
SYSCALL    系统调用
PATH       文件路径
CWD        工作目录

易错点与排错

• 时间过滤默认按本地时间；跨时区排查要统一时区。
• -i 把数值解析成名称，但可能丢失原始字段；需要原始值时用 --raw。
• 日志轮转后旧事件可能查不到；确认 /var/log/audit/ 保留范围。
• -k 依赖规则里的 key；没有 key 的规则无法按业务筛选。
• 只看到 AVC 不代表一定有入侵；结合进程、路径和用户判断。
• 容器内的审计事件通常记录在宿主机；容器内查不到。
• 大量事件会拖慢查询；先用时间范围和事件类型缩小。

相关命令

• auditd — 审计服务
• aureport — 汇总报告
• sealert — SELinux 分析