Linux 取证135 条

aureport 汇总统计

aureport 把审计日志聚合成可读报表：认证、登录、执行、文件访问各有专表，适合做初筛与总体判断。

常用	aureport -au 认证 / -l 登录 / -x 可执行 / -a AVC
组合	--summary 汇总计数

示例

aureport -au --summary -ts today
aureport -x --summary -ts today | head -20

报表用于缩小范围，具体结论仍需回到原始记录逐条核对。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌