第1章 SELinux审计日志概览

1.1 现象识别：何时需要查看审计日志

在 Linux 生产环境中，应用程序或服务突然出现 "Permission denied"、"Operation not permitted" 等错误，而文件权限（DAC）检查正常时，首要怀疑对象就是 SELinux。SELinux 的拒绝事件会被记录到审计日志中，特征是日志行包含 type=AVC 且 avc: denied。

dmesg | grep "avc:  denied" | head -5
ausearch -m avc --start recent 2>/dev/null | head -10

• 典型现象1：Web 服务返回 403 或 500，应用日志无明确权限错误，但系统日志出现 denied 关键字。
• 典型现象2：新安装的服务无法启动，SELinux 布尔值或文件标签未正确配置。
• 典型现象3：自定义脚本或二进制程序访问特定文件/端口被静默拦截。

1.2 数据采集：审计日志文件位置与采集方法

SELinux 审计日志由 auditd 服务统一管理，默认写入以下文件。采集时应优先使用专用工具，避免直接 grep 大文件导致性能问题。

1.3 原因定位：日志格式与关键字段解读

一条完整的 SELinux 审计日志行包含多个关键字段，解析这些字段是定位问题的核心技能。下面是一条典型的 AVC 拒绝日志：

type=AVC msg=audit(1680000000.123:45678): avc:  denied  { read } for  pid=1234
comm="httpd" name="index.html" dev="sda1" ino=56789
scontext=system_u:system_r:httpd_t:s0
tcontext=unconfined_u:object_r:admin_home_t:s0
tclass=file

1.4 修复动作：日志轮转策略配置

审计日志若不轮转会迅速占满磁盘，导致 auditd 停止写入，丢失关键事件。修复动作集中在 /etc/audit/auditd.conf 中调整以下参数：

# /etc/audit/auditd.conf 典型生产配置片段
max_log_file = 200
num_logs = 15
max_log_file_action = ROTATE
space_left_action = EMAIL
action_mail_acct = security@example.com
admin_space_left_action = HALT

1.5 复测：验证日志采集与轮转

完成配置后，必须通过实际触发 SELinux 事件来验证日志采集和轮转是否正常工作。

1. 触发 AVC 事件（安全环境建议使用测试容器或非生产节点）：

# 创建一个安全上下文不匹配的文件来触发拒绝
touch /tmp/test_selinux
chcon -t admin_home_t /tmp/test_selinux
cat /tmp/test_selinux  # 预期被 SELinux 拒绝

2. 检查日志记录：

ausearch -m avc -ts recent | grep test_selinux
# 若输出包含 type=AVC 且 denied，说明采集正常

3. 验证轮转机制：

sudo auditd -s  # 查看当前 auditd 状态
ls -lh /var/log/audit/audit.log*
# 确认存在轮转后的历史文件（如 audit.log.1、audit.log.2.gz）

1.6 预防：日志管理最佳实践

长期稳定运行依赖预防性措施，以下三条是生产环境必须落实的预防动作：

• 集中日志收集：使用 rsyslog 或 fluentd 将审计日志实时转发至中心日志平台（如 ELK、Splunk），避免单点丢失。
• 监控告警覆盖：对 type=AVC 且 denied 的事件设置实时告警，响应时间控制在 5 分钟内。
• 定期健康检查：每周执行 aureport --summary 生成审计摘要，检查拒绝事件趋势和磁盘使用率。