aureport是auditd配套工具，可将二进制日志转为结构化文本报表，支持按事件类型汇总、时间与主体切片分析、导出CSV/原始数据等，实现高效审计日志分析。
auditd本身不直接生成可视化报表，但aureport作为其配套工具，能把原始二进制日志转化为结构清晰、可快速定位问题的文本报表。关键在于用对参数、选准维度，而不是依赖图形界面。
用aureport按事件类型生成分类汇总
aureport最实用的功能是把海量日志归类统计，一眼看出哪些行为最频繁或最异常：
-
登录行为总览：运行
sudo aureport -l --summary，列出所有登录类型（ssh、su、console）、成功/失败次数、涉及用户数，适合每日巡检 -
系统调用异常排行：执行
sudo aureport -f --summary，显示失败次数最多的系统调用（如open、execve），常用于排查权限不足或路径错误 -
用户命令执行清单：使用
sudo aureport -m USER_CMD --key sudo，精准提取带sudo关键字的所有提权操作，含时间、用户、命令完整路径
按时间与主体做定向切片分析
报表的价值取决于能否聚焦到具体对象和时间段，避免泛泛而谈：
- 查某用户全天操作：用
sudo aureport -ts today -te now -ui 1000（UID替换为实际值），输出该用户从早到晚所有审计事件摘要 - 看某文件被谁动过：先确保规则中设了
-k config_change，再运行sudo aureport -f --key config_change，只列匹配该key的访问记录 - 对比两个时段差异：比如
sudo aureport -ts yesterday -te now -m SYSCALL | grep -E "(chmod|chown)"，快速抓取24小时内所有权限变更动作
导出结构化数据供进一步处理
aureport支持标准格式导出，方便导入表格或脚本分析，比人工翻日志高效得多：
- 生成CSV便于Excel筛选：执行
sudo aureport -au --format csv > /tmp/user_activity.csv，包含时间、用户、终端、命令等字段 - 提取完整原始事件流：用
sudo aureport -au --raw > /tmp/raw_events.log，保留全部字段供安全团队做深度关联分析 - 限制输出行数防卡顿：加
--limit 500参数，例如sudo aureport -l --limit 100只显示最近100条登录记录
报表不是目的，而是把auditd日志里埋着的线索拎出来。aureport跑出来的每一行汇总，背后都对应着ausearch能查到的原始事件细节。用汇总找重点，用原始日志验细节，这才是闭环。
