关键不是提高所有日志等级，而是精准放大高危事件、抑制低价值噪音，并确保关键信号不被淹没：通过dmesg临时调优控制台敏感度、grub参数永久设定合理console_loglevel、rsyslog规则定向捕获“avc”“denied”等安全关键词并独立落盘，实现安全异常的突出呈现与可靠留存。
要让系统内核日志中安全相关的异常信息更突出，关键不是“提高所有日志等级”，而是精准放大高危事件、抑制低价值噪音，并确保关键信号不被淹没或过滤掉。核心思路是：控制台聚焦严重级别、日志后端保留全量、用规则定向强化安全线索。
明确哪些内核消息属于“安全相关异常”
内核本身不直接输出“安全告警”，但以下几类 printks 通常关联真实安全风险，需重点捕获：
- KERN_ERR（3）及以上：如驱动校验失败、内存保护机制触发（如 SMEP/SMAP fault）、模块签名验证拒绝（“module verification failed”）
- KERN_WARNING（4）中的特定关键词：如 “stack-protector”, “buffer overflow detected”, “invalid opcode”, “double-fault”, “NMI watchdog”
- KERN_ALERT / KERN_EMERG（1–0）：内核 panic、硬件级故障（如 IOMMU page fault on DMA）、可信执行环境（TEE）异常退出
临时调试：用 dmesg -n 快速提升控制台敏感度
默认 console_loglevel=4（仅显示 WARNING 及以上），但很多安全异常以 ERR 或 CRIT 发出，已能显示；若想连调试级的防护检测逻辑也看到（如某些 LSM 的 trace），可临时设为 7：
- 执行 dmesg -n 7 → 控制台接收全部等级（0–7）
- 验证：cat /proc/sys/kernel/printk 应返回类似 7 4 1 7（首值为 7）
- 配合 dmesg -w -l err,alert,emerg 实时盯住高危通道，避免刷屏干扰
永久生效：GRUB 启动参数精准控制
生产环境不建议全局设 console_loglevel=7（易刷屏、串口 buffer 溢出）。推荐组合策略：
- 在 /etc/default/grub 中修改 GRUB_CMDLINE_LINUX：
- quiet loglevel=4 console_loglevel=5
- 解释：loglevel=4 控制内核环形缓冲区默认存哪些（影响 dmesg 输出）；console_loglevel=5 允许 NOTICE 级别上屏——这恰好覆盖多数 LSM 初始化、SELinux AVC denied、IOMMU 错误等安全上下文事件，比默认 4 更敏感，又远低于 7 的噪声量
- 更新配置：sudo grub-mkconfig -o /boot/grub/grub.cfg
用 rsyslog 做安全日志增强路由（推荐主力方案）
真正可靠的方式不是调高全局音量，而是把安全线索“拎出来单独播放”。例如，将含 “AVC”, “denied”, “smep”, “stack-protector” 的 kern 日志强制写入专用文件并加时间戳：
- 新建 /etc/rsyslog.d/99-security-kern.conf：
- :msg, contains, "AVC" /var/log/kern-security.log
- :msg, contains, "denied" /var/log/kern-security.log
- :msg, contains, "smep" /var/log/kern-security.log
- & stop （匹配后终止后续处理，避免重复落盘）
- 重启服务：sudo systemctl restart rsyslog
- 后续可用 tail -F /var/log/kern-security.log 专注盯防
补充技巧：dmesg 过滤与关键词实时抓取
即使不做永久配置，也能快速定位安全线索：
- dmesg -T | grep -i -E "(avc|denied|smep|smmap|buffer.*overflow|stack.*protector)"（-T 加本地时间）
- dmesg -w -L | grep --color=always -i "avc"（高亮显示，持续监控）
- 注意大小写：grep -i 防止漏掉小写 “avc” 或大写 “DENIED”
不复杂但容易忽略：安全异常往往藏在启动早期或模块加载瞬间，所以调试时优先用 dmesg -T 看完整时间线，而不是只盯当前屏幕输出。
