Linux 取证135 条

audit.log 记录结构解读

audit.log 每行以 type= 开头，msg=audit(时间:序号) 是同一事件的关联键；一个事件由 SYSCALL、EXECVE、CWD、PATH 等多条记录组成。

关键字段	type、msg=audit(秒.毫秒:事件号)、auid、ses、comm、exe
关联	按事件号聚合多条记录

看样本

head -2 /var/log/audit/audit.log
grep 'audit(1697012345' /var/log/audit/audit.log | head

EOE（End Of Event）记录标记事件结束，做解析时可作为分界。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌