ubuntu中selinux日志在哪看

在Ubuntu中，SELinux（Security-Enhanced Linux）日志的查看方法如下：

查看SELinux狀態

首先，您可以通過查看配置文件來確定SELinux是否已啟用以及其當前狀態。打開終端并輸入以下命令：

cat /etc/selinux/config

或者使用以下命令檢查SELinux的當前狀態：

getenforce

如果SELinux狀態為enabled，則表示SELinux已啟用。

查看SELinux日志

SELinux的日志文件通常存儲在/var/log/audit/audit.log中。要查看這些日志，您可以使用ausearch命令。例如，要查找與SELinux相關的所有事件，可以運行：

ausearch -k selinux

這里的-k selinux是一個自定義的鍵值，用于過濾和搜索與SELinux相關的日志條目。

配置SELinux審計

如果您想要更詳細地查看SELinux的日志，您需要配置審計工具。首先，安裝auditd服務：

sudo apt-get install auditd audispd-plugins

然后，編輯/etc/audit/auditd.conf文件，配置日志文件的存儲位置和大小限制。例如：

max_file_size  100M
num_files  10
rotation_interval  1

配置完成后，啟動并啟用auditd服務：

sudo systemctl start auditd
sudo systemctl enable auditd

最后，使用auditctl命令配置要監控的文件和目錄，例如監控/var/log目錄的所有讀寫操作：

sudo auditctl -w /var/log -p wa -k log_monitor

這里的-p wa表示監控讀寫權限，-k log_monitor是自定義的鍵值，用于后續過濾和搜索日志。

請注意，SELinux在Ubuntu中默認是禁用的，如果您需要啟用SELinux并查看相關日志，請確保已經正確配置并啟用SELinux。