必须加 -i 才能解析 ausearch -f 的原始数字字段为可读信息；-f 依赖路径快照，易因重命名、挂载变更失效，推荐用 -k 关键字配合显式系统调用规则（如 -S chmod,write）并限定时间与用户范围精准审计。

用 -f 查文件操作，但结果常为空或不可读

直接运行 ausearch -f /etc/hosts 会返回一堆数字字段：uid=1001、pid=12345、comm="unknown"、exe="/proc/12345/exe (deleted)"。这不是日志没记录，而是没解析——auditd 原始日志不存用户名、命令名，只存 UID/PID 和 inode 快照。

必须加 -i 才能转译：sudo ausearch -f /etc/hosts -i。否则你根本看不出是谁、用什么命令改的。

• -f 匹配的是审计事件中记录的路径快照，不是当前文件路径；若文件被 mv 替换、通过硬链接访问、或挂载点变更，-f 就会失效
• 软链接目标变动时，-f 查不到源链接触发的操作，因为内核审计的是最终 inode 路径
• 如果查不到，先确认规则是否已加载：sudo auditctl -l | grep /etc/hosts，没输出说明规则压根没生效

更稳的方式是用 -k 关键字过滤

规则里加了 -k hosts_mod，查就固定用 ausearch -k hosts_mod -i。它不依赖路径是否存在，只认规则标签，稳定性远高于 -f。

比如监控 /etc/ssh/sshd_config 权限变更，应这样设规则：

sudo auditctl -w /etc/ssh/sshd_config -p a -k sshd_perm

之后查就用：

sudo ausearch -k sshd_perm -i

• -k 查询能跨 rename、跨挂载、跨硬链接，只要规则存在且事件被审计，就一定捕获到
• 多个文件共用一个关键字（如 -k sysconf_mod）便于统一归档和巡检
• 关键字别用空格或特殊字符，sshd_perm 可以，sshd perm 会导致 ausearch 解析失败

查不到修改操作？先确认是否监控了对应系统调用

ausearch -f /path 或 -k mykey 查不到内容，大概率是 audit 规则没覆盖实际发生的系统调用。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

例如 chmod 修改权限，触发的是 chmod、fchmod、fchmodat 等调用，不是 write；而编辑文件内容才走 write 或 open。

• 查权限变更，规则要明确监听 -S chmod,fchmod,fchmodat，不能只写 -w /path -p a（-p a 是属性变更，但部分内核版本需显式指定调用）
• 查文件内容修改，得监听 -S write,open,creat,truncate，且注意 open 需带 O_WRONLY 或 O_RDWR 标志才触发写事件
• 用 sudo aureport -f -i 可快速汇总所有文件操作事件类型，帮你反推缺哪些调用

时间范围和用户上下文必须手动限定

ausearch 默认查全部历史，但 audit 日志滚动快，老事件可能已被轮转或丢弃。不加时间或用户限制，容易漏掉关键窗口。

常见有效组合：

• 查最近 24 小时：sudo ausearch -k hosts_mod --start today -i
• 只看 root 用户操作：sudo ausearch -k hosts_mod -ui 0 -i（-ui 0 比 -ua root 更准，避免用户名映射问题）
• 聚焦写操作：sudo ausearch -k hosts_mod -m SYSCALL -sc write -i（-sc 是 syscall 名，不是命令名）
• 配合 aureport 出报表：sudo ausearch -k hosts_mod --start today | aureport -f -i，比纯 ausearch 输出更紧凑

真正难的不是查命令，是理解每个字段代表什么：auid 是登录用户（防 sudo 逃逸），uid 是进程有效用户，exe 是真实二进制路径——这三个不一致时，往往就是提权或伪装行为。别只盯着 comm 看。