| 过滤 | -ua 按 auid、-ui 按 uid、-m USER_LOGIN |
|---|---|
| 辅助文件 | /proc/<pid>/loginuid |
检索
检索
ausearch -ua 1000 -ts today | head -40
ausearch -m USER_LOGIN -i -ts today | tail -20auid 为 4294967295（-1）表示无登录会话，例如开机阶段启动的守护进程。
按用户与会话检索审计记录
auid（审计登录 UID）在 su 与 sudo 之后保持不变，是跨提权追踪同一登录会话的关键键；ses 表示会话编号。
易错点
- 部分服务未设置 loginuid，会导致记录缺失
- auid 与当前 uid 不同才说明发生了提权或切换
数据来源与参考
- auditd 官方手册（ausearch(8) AUDIT_LOGINUID 说明）