Ubuntu ausearch命令详解（手把手教你搜索和分析系统审计日志）

前提条件：安装 auditd

在使用 ausearch 之前，请确保你的 Ubuntu 系统已安装并启用了 auditd 服务：

# 安装 auditdsudo apt updatesudo apt install auditd audispd-plugins -y# 启动并设置开机自启sudo systemctl start auditdsudo systemctl enable auditd

基础用法：查看所有审计日志

最简单的用法就是直接运行 ausearch，它会输出所有日志条目（可能非常多）：

ausearch -m all

不过通常我们会加上分页查看，避免刷屏：

ausearch -m all | less

常用选项详解

ausearch 提供了丰富的过滤参数，以下是最实用的几个：

• -ts：指定开始时间（例如 -ts today、-ts "04/01/2024 10:00:00"）
• -te：指定结束时间
• -ua 或 -ui：按用户ID或用户名过滤
• -p：按进程ID过滤
• -f：按访问的文件路径过滤
• -m：按消息类型过滤（如 execve、open、chown 等）

示例1：查找今天所有执行的命令

ausearch -m execve -ts today

示例2：查找某个用户（如 ubuntu）的操作记录

ausearch -ua ubuntu

示例3：查找对 /etc/passwd 文件的访问记录

ausearch -f /etc/passwd

高级技巧：结合 ausearch 与 aureport

除了 ausearch，auditd 还提供了 aureport 工具用于生成汇总报告。你可以先用 ausearch 精确定位事件，再用 aureport 查看整体趋势。

例如，查看所有失败的系统调用：

ausearch -m syscall --success no

小贴士：日志格式解读

每条审计日志都包含多个字段，常见字段包括：

• type=SYSCALL：表示这是一个系统调用事件
• arch=c000003e：CPU架构
• syscall=59：系统调用号（59 对应 execve）
• comm="bash"：触发命令的程序名
• exe="/bin/bash"：可执行文件路径
• uid=1000、gid=1000：用户和组ID

结语

通过本文，你应该已经掌握了 ausearch命令 的基本和进阶用法。无论是排查安全事件、追踪用户行为，还是满足合规要求，Ubuntu审计日志 都是你强有力的助手。

记住，定期审查审计日志是保障系统安全的重要措施。结合 Linux日志分析 技巧，你将能更早发现异常行为，提升整体 系统安全审计 能力。

提示：生产环境中建议配置日志轮转和远程日志服务器，防止日志被篡改或丢失。