必须用 ausearch -k key -i 查询 chmod/chown 操作记录，因 -f 不匹配系统调用事件；-k 绑定规则关键字，-i 解析出 comm、exe、auid、name 等可读字段，才能准确定位操作者、命令及目标文件。
auditd 日志里怎么查 chmod/chown 的具体操作记录
ausearch 是唯一能定位到真实权限变更事件的命令，但直接用 -f /path 容易漏掉或混淆——因为权限变更（chmod、chown）触发的是系统调用，不是文件内容写入，必须靠 -k 关键字过滤 + -i 解析才看得懂。
- 必须先确认你有对应规则：比如监控
/etc/hosts权限变更，规则得是sudo auditctl -a always,exit -F arch=b64 -S chmod,chown,fchmod,fchown -k hosts_perm，而不是只用-w /etc/hosts -p a（后者不捕获 chmod/chown） - 查日志时，
sudo ausearch -k hosts_perm -i才能显示可读字段；不加-i会看到一堆uid=1001、pid=5678，根本没法判断是谁干的 - 如果规则没加
-F arch=b64（x86_64 系统），32 位兼容调用可能漏录，ausearch就查不到部分事件
为什么 ausearch -f /path 查不到 chmod 记录
ausearch -f 只匹配事件中 name= 字段等于该路径的条目，但 chmod 类系统调用在审计日志里不一定带 name——尤其当目标是符号链接、硬链接，或通过 fchmodat(AT_FDCWD, "file", ...) 调用时，name 可能为空或为相对路径。
- 更可靠的方式是用
-k：它匹配规则里定义的 key，和事件上下文强绑定 - 若没设 key，可用时间范围 + 系统调用名缩小范围：
sudo ausearch --start today -m SYSCALL -svno 90,91,92,207,208 | aureport -f -i（90=chmod, 91=fchmod, 92=fchmodat, 207=chown, 208=fchown）
从日志字段看懂“谁在什么时候改了什么”
一条典型的权限变更日志经 -i 解析后，关键字段含义如下：
-
comm="chmod"：用户敲的命令名（注意：脚本里调用/bin/chmod也会显示这个） -
exe="/usr/bin/chmod"：实际执行的二进制路径（防伪装，比comm更可信） -
uid=1001：当前进程有效 UID（普通用户执行） -
auid=1001：原始登录用户的审计 UID（即使 sudo 切成 root，auid仍为登录者，不可伪造） -
name="/etc/hosts"：被操作的目标路径（若为空，需结合cwd和系统调用参数推断） -
syscall=90：系统调用号，对照/usr/include/asm/unistd_64.h可知是chmod
如果看到 comm="(unknown)"，说明进程已退出，内核无法反查命令名——这时得靠 ppid（父进程 ID）向上追溯，再查它的 comm 和 exe。
auditd 没启用时，还能抢救吗
不能回溯“谁”，但可以交叉验证时间窗口是否合理：
- 运行
stat /path/to/file，记下Change时间（即 ctime） - 查
/var/log/secure或/var/log/auth.log中同一分钟内是否有sudo.<em>chmod</em>或sudo.chown记录 - 用
last -s "$(date -d '@$(stat -c '%Z' /path/to/file)' -d '1 hour ago' '+%b %d %H:%M')" -t "$(date -d '@$(stat -c '%Z' /path/to/file)' '+%b %d %H:%M')" | head -10查那个时刻谁刚登录 - 注意：这些只是旁证，不是审计证据；一旦
auditd未启用，就永远丢失了“谁、用什么命令、传了什么参数”的原始记录
auditd 规则一旦没覆盖对应系统调用，或者没加 -i 解析，日志就等于废码——不是查不到，是查出来也看不懂。
