系统审计日志（auditd日志）是统信uos中审查用户操作、权限变更及安全策略执行的核心依据，需通过ausearch、aureport等专用工具或直接解析/var/log/audit/下二进制日志文件进行查看与分析。
如果您在统信UOS系统中需审查用户操作行为、权限变更或安全策略执行情况，则系统审计日志（auditd日志）是核心依据。auditd服务默认记录内核层的系统调用、文件访问、账户管理等敏感事件，其日志独立于常规systemd日志，需通过专用路径与工具访问。以下是查看系统审计日志的具体方法：
一、使用ausearch命令按条件检索审计日志
ausearch是auditd官方提供的查询工具，支持基于时间、UID、系统调用、事件类型等多维度精确过滤原始审计记录，避免人工扫描海量二进制日志。
1、查看最近10分钟内所有审计事件：sudo ausearch --start recent
2、检索指定用户（如UID 1000）的所有操作记录：sudo ausearch -ua 1000
3、筛选出所有与文件访问相关的系统调用（如open、openat、unlink）：sudo ausearch -sc open -sc openat -sc unlink
4、查找所有失败的认证尝试（例如密码错误登录）：sudo ausearch -m avc -m user_avc -i | grep "denied"
二、使用aureport生成结构化审计报表
aureport可将原始审计日志汇总为可读性更强的统计报表，适用于快速识别高频异常行为、账户登录趋势或违规资源访问模式。
1、生成按用户分组的登录事件汇总：sudo aureport -l --summary
2、列出所有失败的系统调用及其发生次数：sudo aureport -f --summary
3、显示过去24小时内所有与sudo权限提升相关的事件：sudo aureport -ts yesterday -te now -m USER_CMD --key sudo
4、导出完整审计事件列表为文本便于离线分析：sudo aureport -au --format csv > /tmp/audit_user_events.csv
三、直接读取审计日志文件并解析
auditd日志默认以二进制格式存储于/var/log/audit/目录，需使用ausearch或aureport解析；但可通过auditctl确认当前日志路径及轮转状态，并手动检查归档文件。
1、确认auditd服务是否运行及日志存储根目录：sudo auditctl -s | grep "log_file\|log_group"
2、列出/var/log/audit/下全部审计日志文件（含归档）：sudo ls -lt /var/log/audit/audit.log*
3、查看最新审计日志文件的末尾100行原始内容：sudo tail -n 100 /var/log/audit/audit.log
4、使用ausearch解析指定归档日志中的root用户操作：sudo ausearch -if /var/log/audit/audit.log.1 -ua 0
四、启用审计规则后实时监控关键事件
若需持续跟踪特定对象（如/etc/shadow修改、sudoers变更、特权进程启动），须预先配置audit规则，之后即可通过ausearch实时捕获匹配事件。
1、临时添加监控/etc/passwd文件访问的规则：sudo auditctl -w /etc/passwd -p wa -k passwd_access
2、立即检索该规则触发的所有事件：sudo ausearch -k passwd_access
3、监控所有UID为0的进程执行的execve系统调用：sudo auditctl -a always,exit -F uid=0 -F arch=b64 -S execve
4、查看当前已加载的所有审计规则：sudo auditctl -l
五、通过图形化日志收集工具定位审计日志入口
统信UOS预装的日志收集工具虽不直接展示原始audit.log内容，但提供审计相关日志分类入口，可快速跳转至对应路径或触发ausearch关联查询。
1、点击启动器图标，搜索并打开日志收集工具。
2、在左侧导航栏中选择安全日志或审计日志（若存在该分类）。
3、右侧列表中查找标注为auditd或/var/log/audit/的条目。
4、双击该条目，在详情窗口顶部确认日志物理路径，并点击在终端中打开按钮自动执行sudo ausearch -if对应文件。
