Linux 取证135 条

AppArmor 拒绝日志核查

AppArmor 以路径为核心的策略模型记录 profile 拒绝事件，常见于内核日志；被拒绝的进程与文件组合是排查线索。

检索	dmesg \| grep -i apparmor / journalctl -k
状态	aa-status、/sys/kernel/security/apparmor

查看

aa-status 2>/dev/null | head
journalctl -k --since '2026-01-01' 2>/dev/null | grep -i 'apparmor.*DENIED' | tail -20

complain 模式只记录不阻断，与 enforce 模式的处置含义不同。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌