导出指定进程全部审计历史应优先使用auid+comm组合而非单纯进程名，因pid易变而auid稳定、comm明确；可用ausearch -m all -c -i导出，再经aureport -f -i结构化呈现。
要导出指定进程的全部审计历史，关键不是按“进程名”直接筛选，而是利用进程在审计日志中留下的唯一标识：**PID（进程ID）** 或更可靠的 **auid（审计UID）+ comm（命令名）+ exe（可执行路径）组合**。ausearch 本身不支持“查某个正在运行的进程的所有历史”，但它能精准回溯该进程曾经触发的全部审计事件——前提是规则已开启记录且日志未轮转丢失。
确认目标进程的审计上下文
audit 日志中一个进程的完整身份由多个字段共同标识：
- auid：用户首次登录时分配的审计 UID，跨 su/sudo 不变，比 uid 更稳定
- uid：当前有效 UID，执行 execve 时可能已切换（如 sudo -u www-data）
- comm：进程命令名（如 "sshd"、"bash"、"curl"），最多 15 字符
- exe：可执行文件绝对路径（如 "/usr/bin/python3"），需启用 ENRICHED 格式才记录
- pid：进程 ID，仅对单次运行有效，重启即失效
推荐优先用 auid + comm 组合定位，尤其适用于长期服务或重复启动的命令。
按进程名（comm）导出全部历史
例如导出所有名为 nginx 的进程产生的审计事件（含启动、配置读取、网络连接等）：
sudo ausearch -m all -c nginx -i --raw | aureport -f -i
-
-c nginx匹配 comm 字段，不区分大小写 -
-m all涵盖所有事件类型（SYSCALL、PATH、CWD、PROCTITLE 等） -
--raw输出原始格式，供后续处理；去掉则为可读格式 -
aureport -f -i将结果转为带用户名、路径、命令行的结构化视图
若需导出为文本文件：
sudo ausearch -m all -c nginx -i > nginx_audit_history.txt
按审计用户（auid）+ 进程名精确锁定
比如查 UID 1000 用户（auid=1000）下所有 curl 调用：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
sudo ausearch -m execve -ui 1000 -c curl -i --start 00:00:00 --end 23:59:59
-
-ui 1000实际匹配的是 auid 字段（-ui是-auid的简写） -
--start/--end可限定时间范围，避免全量扫描影响性能 - 加
-m execve聚焦命令执行，若还需文件访问，改用-m all
按可执行路径（exe）导出最完整行为
当进程名易混淆（如多个 python 脚本），用 exe 更准确。需确保 auditd.conf 中 log_format = ENRICHED 已启用：
sudo ausearch -m all -F exe="/usr/local/bin/backup.sh" -i
-
-F exe=...是字段精确匹配，支持完整路径 - 该规则会捕获其 open、connect、write、execve 子进程等全部关联动作
- 注意：路径中空格或特殊字符需用引号包裹
导出后快速生成摘要报告
原始 ausearch 输出较冗长，建议管道给 aureport 提炼重点：
# 统计该进程触发的系统调用类型分布 sudo ausearch -c "ssh" -m syscall -i | aureport -m -i <h1>列出它访问过的所有文件路径</h1><p>sudo ausearch -c "rsync" -m path -i | aureport -f -i</p><h1>查看它建立的网络连接目标</h1><p>sudo ausearch -c "wget" -m socket,connect -i | aureport -n -i</p>
每条命令末尾的 -i 都是关键，它把数字 UID/GID/PID/设备号等转为可读名称，否则输出难以理解。
