aureport 是干什么的
aureport 读 /var/log/audit/audit.log 做维度汇总，是 auditd 自带的报表工具。它把原始事件转成“谁登录过、认证失败多少次、哪些审计 key 命中最频繁”这类可读结果，适合周期性归档，让合规检查时有现成证据可用，而不是现场翻日志。
基本信息
| 适用平台 | RHEL/CentOS/Ubuntu 等已安装 auditd 的 Linux |
|---|---|
| 数据源 | /var/log/audit/audit.log |
| 前置条件 | 审计规则已覆盖对应事件类型 |
| 常用维度 | 登录、认证、失败、key、文件、进程 |
| 输出形态 | 纯文本表格，可直接重定向归档 |
典型使用场景
- 周报月报：导出登录与认证失败汇总表，纳入安全运营报表
- 等保审计：提供周期性审计报表作为合规证据
- 异常排查：定位某天的失败登录集中来自哪些来源
- 规则验证：通过 key 命中统计确认自定义审计规则真的在触发
- 事件初筛：用汇总表发现异常时段，再拉原始事件细看
常用报表
常用报表
aureport --summary # 全局概览：各类事件计数
aureport --auth --start this-week # 本周认证事件明细
aureport --failed --start today | head -20
aureport --login --start this-month | head -30
aureport -k | head -20 # 按审计 key 统计命中
aureport --file --summary | head -20 # 文件访问汇总（受 -w 规则范围限制）
aureport --start this-week --end this-week > /var/log/audit/report-$(date +%F).txt报表常见列读法
| 列 | 含义 | 判读要点 |
|---|---|---|
| 日期时间 | 事件发生时间 | 按审计日志时区，跨时区归档要标注 |
| 主体账号 | 触发事件的账号 | 出现陌生或已离职账号要立即追查 |
| 来源 | 来源主机名或地址 | 失败事件集中在少数来源属于爆破特征 |
| 结果 | success 或 failed | failed 突然攀升应触发告警 |
| 事件类型 | 登录、认证、文件访问等 | 用于判断规则覆盖是否完整 |
报表只是索引：发现异常时段后用 ausearch -k <key> 或按时间区间拉原始事件，才能看到完整上下文。
报表依赖审计规则的覆盖范围，规则没配的维度天然是空表；看到空表先查规则，不要理解成“没有问题”。