Ubuntu SELinux日志如何查看

在Ubuntu系統中，SELinux（Security-Enhanced Linux）的日志可以通過以下幾種方法查看：

方法一：使用ausearch工具

ausearch是SELinux的一個強大工具，可以用來查詢和顯示SELinux的安全審計日志。

1. 安裝auditd包（如果尚未安裝）：

   sudo apt-get update
   sudo apt-get install auditd audispd-plugins
   

2. 查看所有SELinux日志：

   sudo ausearch -m avc -ts recent
   

   這條命令會顯示最近發生的AVC（Access Vector Cache）拒絕事件。

3. 根據時間范圍查看日志：

   sudo ausearch -m avc -ts today
   

   這條命令會顯示當天發生的AVC拒絕事件。

4. 根據特定進程ID查看日志：

   sudo ausearch -m avc -ts recent -c <process_name>
   

   將<process_name>替換為你想要查詢的進程名稱。

方法二：查看/var/log/audit/audit.log

auditd服務會將日志寫入/var/log/audit/audit.log文件中。

1. 使用grep命令過濾日志：

   sudo grep "AVC" /var/log/audit/audit.log
   

   這條命令會顯示所有包含"AVC"的日志條目。

2. 使用ausearch工具結合日志文件：

   sudo ausearch -i -k avc -ts recent --file /var/log/audit/audit.log
   

   這條命令會顯示最近發生的AVC拒絕事件，并且直接從日志文件中讀取數據。

方法三：使用journalctl查看系統日志

如果你的系統啟用了systemd，可以使用journalctl來查看SELinux相關的日志。

1. 查看所有SELinux日志：

   sudo journalctl -k | grep "SELinux"
   

2. 根據時間范圍查看日志：

   sudo journalctl -k --since "2023-04-01" | grep "SELinux"
   

3. 根據特定進程ID查看日志：

   sudo journalctl -k --since "2023-04-01" -u <process_name> | grep "SELinux"
   

注意事項

• SELinux日志可能會非常詳細，建議使用grep或其他文本處理工具進行過濾和分析。
• 如果SELinux處于 enforcing 模式，日志中會顯示更多的拒絕事件；如果處于 permissive 模式，日志中只會顯示警告信息。

通過以上方法，你可以方便地查看和分析Ubuntu系統中的SELinux日志。