审计日志是记录系统事件和活动的重要工具。它允许系统管理员监控系统并检测潜在的安全问题。在Linux中，审计日志通常存储在/var/log/audit/目录中。
通过命令行查看审计日志
可以使用命令行工具auditctl或ausearch来查看审计日志。auditctl命令允许您控制审计策略和查看审计日志。ausearch命令用于搜索审计日志中特定的事件。
要使用auditctl查看审计日志，请按以下步骤操作：
以root用户身份打开终端窗口。
输入以下命令：
auditctl -l
这将列出当前的审计规则。
要使用ausearch搜索审计日志中的特定事件，请按以下步骤操作：
以root用户身份打开终端窗口。
输入以下命令：
ausearch -f /var/log/audit/audit.log -k keyword
其中，-f指定要搜索的审计日志文件，-k指定要搜索的关键词。
通过图形界面查看审计日志
在某些Linux发行版中，您可以使用图形界面（GUI）工具来查看审计日志。例如，在Ubuntu中，您可以使用System Log Viewer工具。
要使用System Log Viewer查看审计日志，请按以下步骤操作：
打开System Log Viewer。
在左侧菜单中，选择“系统日志”。
在事件筛选器中，输入“audit”筛选审计事件。
管理审计日志
审计日志会随着时间的推移而增长，因此定期管理它以确保其大小不会过大非常重要。您可以使用以下 管理审计日志：
配置日志轮转：设置日志轮转以定期创建审计日志的归档副本，并删除旧的日志。
过滤审计事件：配置审计策略以仅记录某些事件，从而减少审计日志的大小。
