如何导出linux审计日志

在 Linux 中，“审计日志”通常有两种常见含义，下面分别说明如何导出：

一、使用 auditd（推荐，真正的“审计系统”）

1. 查看审计日志位置

默认日志文件：

/var/log/audit/audit.log

2. 直接导出日志文件

cp /var/log/audit/audit.log /tmp/audit.log.bak

或打包：

tar czf audit_logs.tar.gz /var/log/audit/

3. 使用 ausearch 导出（按条件）

例如导出所有失败操作：

ausearch --failure || true > audit_failed.txt

导出某天日志：

ausearch --start yesterday --end today > audit_yesterday.txt

4. 使用 aureport 导出报表

aureport --summary
aureport --auth

导出为文件：

aureport --auth > auth_report.txt

5. 导出到远程（可选）

修改 /etc/audit/auditd.conf：

action_mail_acct = root

或使用 audisp 插件转发到 syslog / 日志服务器。

二、系统日志中的“安全审计”（rsyslog / journald）

1. 导出 secure / auth.log

• RHEL / CentOS:

/var/log/secure

• Ubuntu / Debian:

/var/log/auth.log

导出示例：

cp /var/log/secure /tmp/secure.bak

2. 使用 journalctl 导出

journalctl -u sshd > sshd.log

导出为 JSON（便于分析）：

journalctl -o json > system_log.json

三、导出给审计/合规使用建议

• 保留原始 audit.log（不可篡改）
• 使用 ausearch + aureport
• 可结合 logrotate 自动归档
• 重要系统建议同步到 SIEM

如果你能告诉我：

• 使用的 Linux 发行版
• 是否启用了 auditd
• 导出用途（合规 / 排查 / 备份）

我可以给你更精确的命令。