| 检索 | ausearch -m EXECVE/AVC/USER_LOGIN |
|---|---|
| 时间窗 | -ts today / -te now（--start 别名） |
| 按键 | -k <规则键名> |
| 报告 | aureport -au 认证、aureport -x 可执行 |
按类型与键检索
按类型与键检索
ausearch -m USER_LOGIN --start today | tail -n 20
ausearch -k cmd-watch -ts today | tail -n 30
aureport -au --summary | head -n 20
ausearch -m AVC -ts today | tail -n 10auditd 只在规则命中时记录：没有对应规则就没有数据，先看 auditctl -l 确认监控面。