SELinux auditd日志系统的安装与启动

SELinux（Security-Enhanced Linux）是一个安全子系统，主要用于在Linux系统中实现强制访问控制（MAC）。auditd是SELinux中负责安全审计的守护进程，可以记录系统中所有用户、进程和文件等的活动信息。下面是SELinux auditd日志系统的安装与启动的攻略。

安装auditd

在Linux系统中，auditd通常是与SELinux一起打包发行的，因此默认情况下操作系统已经自带auditd。但是，如果你需要安装它或者版本较低，可以使用以下命令进行安装：

• Ubuntu/Debian系统：

  $ sudo apt-get install auditd

• CentOS/RHEL系统：

  $ sudo yum install audit

配置audit规则

auditd的日志记录是基于规则的，可以通过配置规则来记录需要的信息。可以使用下面的命令列出当前的规则：

$ sudo auditctl -l

输出类似以下的内容：

No rules

表示没有规则。首先需要配置一个规则，记录所有用户的登录和注销信息：

$ sudo auditctl -a exit,always -F arch=b64 -S execve -F exe=/sbin/unix_chkpwd -k unix_chkpwd
$ sudo auditctl -a exit,always -F arch=b64 -S execve -F exe=/sbin/pam_loginuid -k pam_loginuid
$ sudo auditctl -a exit,always -F arch=b64 -S sethostname,sett [...]

通过以上的命令，我们创建了一些规则来监控Linux系统的各种操作行为，并在其中记录日志。需要注意的是，这里的规则只是示例，根据需要和系统的安全策略，可以自定义更多的规则来对系统进行监控。

## 启动auditd服务

启动auditd服务非常简单，只需使用以下命令：

$ sudo systemctl start auditd

如果您使用的是CentOS 6或6以下的版本：

$ sudo service auditd start

## 验证auditd是否运行

通过以下命令可以查看auditd的状态：

$ sudo systemctl status auditd

或者运行以下命令：

$ sudo service auditd status

如果auditd在运行，则输出类似该服务正在运行中的内容。

## 日志查看

将日志存储在/var/log/audit/中，其中包含多个日志文件。可以使用以下命令查看日志文件：

$ sudo less /var/log/audit/audit.log

或者：

$ sudo ausearch -i -ts today -k unix_chkpwd
```

或者查看today中 unix_chkpwd关键字的日志信息。

以上就是SELinux auditd日志系统的安装和启动攻略，通过设置规则和查看日志，可以获取到系统的安全审计信息和记录，以便及时发现和解决问题。