Ubuntu SELinux如何审计日志

在Ubuntu中，可以通过配置SELinux和审计工具来执行日志审计，从而监控和记录系统中的安全活动。以下是详细的步骤和配置方法：

1. 开启SELinux： 首先，确保SELinux已经开启。可以通过编辑 /etc/selinux/config 文件来设置SELinux的模式。例如，将其设置为 SELINUX=enforcing 以启用强制模式，这将阻止所有违反安全策略的行为。

2. 安装和配置auditd服务： 安装 auditd 服务和相关的工具：

   sudo apt-get install auditd audispd-plugins
   

   编辑 /etc/audit/auditd.conf 文件，配置日志文件的存储位置和大小限制。例如：

   max_file_size  100
   num_files  10
   rotation_interval  1
   

   启动并启用 auditd 服务：

   sudo systemctl start auditd
   sudo systemctl enable auditd
   

3. 配置审计规则： 使用 auditctl 命令配置要监控的文件和目录。例如，监控 /var/log 目录的所有读写操作：

   sudo auditctl -w /var/log -p wa -k log_monitor
   

   这里 -p wa 表示监控读写权限，-k log_monitor 是自定义的键值，用于后续过滤和搜索日志。

4. 查看和搜索审计日志： 使用 ausearch 命令查看和搜索审计日志。例如，查找与 log_monitor 键相关的所有事件：

   sudo ausearch -k log_monitor
   

   使用 aereport 生成审计报告，以便更直观地查看和分析日志数据：

   sudo aureport -m selinux
   

通过上述步骤，可以在Ubuntu上配置SELinux和审计工具，以执行日志审计，从而提高系统的安全性和可追溯性。