centos selinux如何审计日志

在CentOS系统中，SELinux（Security-Enhanced Linux）的审计日志可以通过以下步骤进行查看和分析：

1. 查看SELinux审计日志文件

SELinux的审计日志通常存储在/var/log/audit/audit.log文件中。你可以使用以下命令来查看该文件的内容：

sudo cat /var/log/audit/audit.log

或者使用less或more命令来分页查看：

sudo less /var/log/audit/audit.log

2. 使用ausearch工具进行查询

ausearch是SELinux提供的一个强大的日志查询工具，可以用来搜索和分析审计日志。以下是一些常用的ausearch命令：

查看所有SELinux拒绝事件

sudo ausearch -m avc

查看特定时间范围内的事件

sudo ausearch -ts recent

查看特定进程的事件

sudo ausearch -p <PID>

查看特定用户事件

sudo ausearch -u <username>

查看特定文件或目录的事件

sudo ausearch -f /path/to/file_or_directory

3. 使用aureport工具生成报告

aureport是另一个SELinux提供的工具，可以用来生成各种报告，包括拒绝事件的统计报告、用户活动报告等。

生成拒绝事件统计报告

sudo aureport -m avc

生成用户活动报告

sudo aureport -u <username>

生成文件访问报告

sudo aureport -f /path/to/file_or_directory

4. 配置SELinux审计日志轮转

为了防止审计日志文件过大，可以配置SELinux审计日志的轮转。编辑/etc/logrotate.d/audit文件，添加或修改以下内容：

/var/log/audit/audit.log {
    daily
    missingok
    rotate 7
    compress
    notifempty
    create 640 root adm
}

这个配置表示每天轮转一次日志文件，保留最近7天的日志，并对旧日志进行压缩。

5. 实时监控SELinux审计日志

如果你需要实时监控SELinux审计日志的变化，可以使用tail -f命令：

sudo tail -f /var/log/audit/audit.log

通过以上步骤，你可以有效地查看、查询和分析CentOS系统中的SELinux审计日志。