SELinux日志在CentOS中如何管理

SELinux日志在CentOS中的管理方法

一、SELinux日志的位置

CentOS系统中，SELinux的审计日志默认存储在/var/log/audit/audit.log，该文件记录了所有与SELinux相关的访问控制事件（如拒绝、允许）。此外，也可通过journalctl命令查看内核日志中的SELinux信息（适用于使用systemd的系统）。

二、查看SELinux日志的常用命令

1. ausearch命令（精准查询）

ausearch是SELinux专用日志查询工具，可通过多种条件过滤日志：

查看近期所有AVC（访问向量缓存）拒绝事件（最常用）：
sudo ausearch -m avc -ts recent
（-m avc指定事件类型为AVC拒绝；-ts recent表示最近发生的事件）
查看当天所有AVC拒绝事件：
sudo ausearch -m avc -ts today
查看特定进程的SELinux日志（如httpd服务）：
sudo ausearch -m avc -ts recent -c httpd
将日志保存到文件（便于后续分析）：
sudo ausearch -m avc -ts recent > avc_logs.txt

2. auselect命令（快速筛选）

auselect用于快速筛选SELinux审计日志中的特定事件：

查看所有AVC拒绝事件：
sudo auselect -m avc
查看当天AVC拒绝事件：
sudo auselect -m avc -s today
查看特定进程的AVC拒绝事件：
sudo auselect -m avc -c nginx

3. 直接查看audit.log文件

使用grep命令过滤audit.log中的AVC事件（简单快捷）： sudo grep "avc" /var/log/audit/audit.log
或使用ausearch直接查询日志文件：
sudo ausearch -f /var/log/audit/audit.log -m avc

4. journalctl命令（systemd系统）

若系统使用systemd，可通过journalctl查看内核日志中的SELinux信息：

查看所有SELinux拒绝事件：
sudo journalctl -k | grep avc
查看自2023年4月1日以来的SELinux拒绝事件：
sudo journalctl -k --since "2023-04-01" | grep avc

三、SELinux日志分析工具

1. audit2why（解释事件原因）

audit2why用于分析审计日志中的SELinux拒绝事件，解释拒绝的原因（如缺少权限、布尔值未开启等）： sudo ausearch -m avc -ts recent | audit2why
输出结果会提示“是”（需要调整策略）或“否”（无需操作），并给出具体原因（如“httpd进程无权访问/var/www/html目录”）

2. audit2allow（生成策略模块）

audit2allow可根据审计日志中的拒绝事件生成自定义SELinux策略模块，解决“拒绝但需要允许”的问题：

生成策略模块（如mypol）：
sudo ausearch -m avc -ts recent | audit2allow -M mypol
（-M参数会生成.te（策略源码）和.pp（编译后的策略模块）文件）
加载策略模块（使更改生效）：
sudo semodule -i mypol.pp

四、SELinux日志轮转配置（避免日志过大）

为防止audit.log文件占用过多磁盘空间，需通过logrotate工具配置日志轮转（默认配置文件位于/etc/logrotate.d/audit）：

/var/log/audit/audit.log {
    daily          # 每天轮转一次
    missingok      # 若日志文件不存在也不报错
    rotate 7       # 保留最近7个轮转日志
    compress       # 压缩旧日志（节省空间）
    notifempty     # 若日志为空则不轮转
    create 0640 root adm  # 创建新日志文件时设置权限和所有者
}

修改后，logrotate会自动按配置执行轮转（通常由cron每日触发）。

五、注意事项

定期检查日志：重点关注audit.log中的AVC拒绝事件，及时处理潜在安全问题；
谨慎调整策略：生成和应用自定义策略模块前，需确认事件是否确实需要允许（避免过度放宽权限）；
备份重要日志：轮转前的日志文件（如audit.log.1）建议备份至安全位置，便于后续审计。