必须加 -i 才能解析 ausearch -f 的原始数字字段为可读信息；-f 依赖路径快照，易因重命名、挂载变更失效，推荐用 -k 关键字配合显式系统调用规则（如 -S chmod,write）并限定时间与用户范围精准审计。
用 -f 查文件操作，但结果常为空或不可读
直接运行 ausearch -f /etc/hosts 会返回一堆数字字段：uid=1001、pid=12345、comm="unknown"、exe="/proc/12345/exe (deleted)"。这不是日志没记录，而是没解析——auditd 原始日志不存用户名、命令名，只存 UID/PID 和 inode 快照。
必须加 -i 才能转译：sudo ausearch -f /etc/hosts -i。否则你根本看不出是谁、用什么命令改的。
-
-f匹配的是审计事件中记录的路径快照，不是当前文件路径；若文件被mv替换、通过硬链接访问、或挂载点变更，-f就会失效 - 软链接目标变动时，
-f查不到源链接触发的操作，因为内核审计的是最终 inode 路径 - 如果查不到，先确认规则是否已加载：
sudo auditctl -l | grep /etc/hosts，没输出说明规则压根没生效
更稳的方式是用 -k 关键字过滤
规则里加了 -k hosts_mod，查就固定用 ausearch -k hosts_mod -i。它不依赖路径是否存在，只认规则标签，稳定性远高于 -f。
比如监控 /etc/ssh/sshd_config 权限变更，应这样设规则：
sudo auditctl -w /etc/ssh/sshd_config -p a -k sshd_perm
之后查就用：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
sudo ausearch -k sshd_perm -i
-
-k查询能跨 rename、跨挂载、跨硬链接，只要规则存在且事件被审计，就一定捕获到 - 多个文件共用一个关键字（如
-k sysconf_mod）便于统一归档和巡检 - 关键字别用空格或特殊字符，
sshd_perm可以，sshd perm会导致ausearch解析失败
查不到修改操作？先确认是否监控了对应系统调用
ausearch -f /path 或 -k mykey 查不到内容，大概率是 audit 规则没覆盖实际发生的系统调用。
例如 chmod 修改权限，触发的是 chmod、fchmod、fchmodat 等调用，不是 write；而编辑文件内容才走 write 或 open。
- 查权限变更，规则要明确监听
-S chmod,fchmod,fchmodat，不能只写-w /path -p a（-p a是属性变更，但部分内核版本需显式指定调用） - 查文件内容修改，得监听
-S write,open,creat,truncate，且注意open需带O_WRONLY或O_RDWR标志才触发写事件 - 用
sudo aureport -f -i可快速汇总所有文件操作事件类型，帮你反推缺哪些调用
时间范围和用户上下文必须手动限定
ausearch 默认查全部历史，但 audit 日志滚动快，老事件可能已被轮转或丢弃。不加时间或用户限制，容易漏掉关键窗口。
常见有效组合：
- 查最近 24 小时：
sudo ausearch -k hosts_mod --start today -i - 只看 root 用户操作：
sudo ausearch -k hosts_mod -ui 0 -i（-ui 0比-ua root更准，避免用户名映射问题） - 聚焦写操作：
sudo ausearch -k hosts_mod -m SYSCALL -sc write -i（-sc是 syscall 名，不是命令名） - 配合
aureport出报表：sudo ausearch -k hosts_mod --start today | aureport -f -i，比纯ausearch输出更紧凑
真正难的不是查命令，是理解每个字段代表什么：auid 是登录用户（防 sudo 逃逸），uid 是进程有效用户，exe 是真实二进制路径——这三个不一致时，往往就是提权或伪装行为。别只盯着 comm 看。
