CentOS中SELinux如何进行安全审计

在CentOS中进行SELinux安全审计可通过以下方式操作：

1. 查看审计日志

   • 日志默认路径为/var/log/audit/audit.log，可使用cat、grep等命令查看，如grep -i "denied" /var/log/audit/audit.log筛选拒绝记录。
   • 实时查看日志：sudo tail -f /var/log/audit/audit.log。

2. 使用专用工具分析

   • ausearch：搜索特定事件，如sudo ausearch -m avc -ts recent -te now查看近期SELinux拒绝事件。
   • Aureport：生成审计报告，如sudo aureport -m selinux生成SELinux事件报告。
   • audit2why/audit2allow：分析日志并生成策略建议，如sudo ausearch -m avc | audit2why。

3. 配置审计规则

   • 编辑/etc/audit/auditd.conf，添加对SELinux关键文件的监控，例如：
     -w /etc/selinux/config -p wa -k selinux_config。
   • 重启auditd服务使配置生效：sudo systemctl restart auditd。

4. 验证审计功能

   • 检查审计服务状态：sudo systemctl status auditd。
   • 查看审计规则：sudo auditctl -l。

通过以上方法可有效监控SELinux的安全事件，及时发现异常访问行为并优化策略。