明细检索
明细检索
ausearch -k passwd_change # 按规则 key 查
ausearch -ts today -m USER_LOGIN # 今日登录事件
ausearch -ua 1000 -ts recent # 某 UID 的最近事件
ausearch -k passwd_change -i | tail -30 # -i 解析用户名汇总报表
汇总报表
aureport --auth --summary # 认证事件汇总
aureport -l --summary # 登录列表
aureport --failed --summary # 失败事件统计
aureport -f # 文件访问报表audit.log 是审计证据链的一部分；日常保留归档，涉事时先备份原始文件再分析。