如何使 selinux 日志转到 syslog

Question

我希望来自 SElinux 的失败（或“全部”，如果我不能选择“失败”）消息转到系统的 syslog 服务。 我们有一个系统日志管理器，它从所有服务器中提取所有其他事件。

（我实际上在使用 rsyslog，并不关心消息是否进入 syslog 和现有的审核日志）

如果这是对搜索的一个明显答案，我深表歉意，但我一直在搜索 syslog 和 SELinux，并且有很多人想要对受 SElinux 和类似干扰的 syslog 做一些事情......我已经阅读常见问题解答之类的，它们似乎都只是参考进入审计日志的消息，没有其他选择。

谢谢

Answer 1

如果我理解您的问题，您希望将审核日志数据放入 syslog 而不是 audit.log 文件。在这种情况下，您可以重定向整个 auditd 守护进程生成的日志，请参阅

• http://wiki.rsyslog.com/index.php/Centralizing_the_audit_log
• https://github.com/alienone/Linux-Auditd/blob/master/rsyslog.conf

Answer 2

1. 避免 auditd 将日志写入磁盘：/etc/audit/auditd.conf : log_format=nolog

2. 通过audisp将审计日志重定向到系统日志：

   • /etc/audit/auditd.conf：dispatcher = /sbin/audispd
   • /etc/audisp/plugins.d/syslog.conf：

   活跃 = 否 方向=出 路径 = builtin_syslog 类型 = 内置 args = LOG_INFO 格式 = 字符串

---

如果您能找到一种在启用 auditd 时仅将 SELINUX 日志定向到 syslog 的方法，请告诉我 :)