在Ubuntu中，可以通過配置SELinux和審計工具來執行日志審計，從而監控和記錄系統中的安全活動。以下是詳細的步驟和配置方法：
首先，確保SELinux已經開啟。可以通過編輯/etc/selinux/config文件來設置SELinux的模式。例如，將其設置為SELINUX=enforcing以啟用強制模式，這將阻止所有違反安全策略的行為。
安裝auditd服務：
sudo apt-get install auditd audispd-plugins
配置auditd：
編輯/etc/audit/auditd.conf文件，配置日志文件的存儲位置和大小限制。例如，設置日志文件的最大大小和滾動周期：
max_file_size = 100
num_files = 10
rotation_interval = 1
啟動并啟用auditd服務：
sudo systemctl start auditd
sudo systemctl enable auditd
配置審計規則：
使用auditctl命令配置要監控的文件和目錄。例如，監控/var/log目錄的所有讀寫操作：
sudo auditctl -w /var/log -p wa -k log_monitor
這里-p wa表示監控讀寫權限，-k log_monitor是自定義的鍵值，用于后續過濾和搜索日志。
查看和搜索審計日志：
使用ausearch命令查看和搜索審計日志。例如，查找與log_monitor鍵相關的所有事件：
sudo ausearch -k log_monitor
日志分析：
根據需要分析審計日志，以識別潛在的安全問題或異常行為。可以使用ausearch命令的各種選項來過濾和格式化日志輸出。
通過上述步驟，可以在Ubuntu上配置SELinux和審計工具，以執行日志審計，從而提高系統的安全性和可追溯性。
