ubuntu中selinux日志在哪看

在Ubuntu中，SELinux（Security-Enhanced Linux）日志的查看方法如下：

查看SELinux状态

首先，您可以通过查看配置文件来确定SELinux是否已启用以及其当前状态。打开终端并输入以下命令：

cat /etc/selinux/config

或者使用以下命令检查SELinux的当前状态：

getenforce

如果SELinux状态为enabled，则表示SELinux已启用。

查看SELinux日志

SELinux的日志文件通常存储在/var/log/audit/audit.log中。要查看这些日志，您可以使用ausearch命令。例如，要查找与SELinux相关的所有事件，可以运行：

ausearch -k selinux

这里的-k selinux是一个自定义的键值，用于过滤和搜索与SELinux相关的日志条目。

配置SELinux审计

如果您想要更详细地查看SELinux的日志，您需要配置审计工具。首先，安装auditd服务：

sudo apt-get install auditd audispd-plugins

然后，编辑/etc/audit/auditd.conf文件，配置日志文件的存储位置和大小限制。例如：

max_file_size  100M
num_files  10
rotation_interval  1

配置完成后，启动并启用auditd服务：

sudo systemctl start auditd
sudo systemctl enable auditd

最后，使用auditctl命令配置要监控的文件和目录，例如监控/var/log目录的所有读写操作：

sudo auditctl -w /var/log -p wa -k log_monitor

这里的-p wa表示监控读写权限，-k log_monitor是自定义的键值，用于后续过滤和搜索日志。

请注意，SELinux在Ubuntu中默认是禁用的，如果您需要启用SELinux并查看相关日志，请确保已经正确配置并启用SELinux。