aureport 解釋報告輸出

我在我的 RHEL 6 系統上執行了以下命令來生成審計報告

aureport --login --summary -i

產生以下輸出

Login Summary Report
============================
total  auid
============================
Warning - freq is non-zero and incremental flushing not selected.
458  unset
87  root

據說該命令根據這個RHEL 文件生成每個系統使用者的所有失敗登錄嘗試的摘要報告。

但是，我不需要使用該--failed選項為失敗的登錄嘗試生成輸出嗎？

另外，如何解釋這個命令的輸出？這是否意味著 87 次 root 登錄失敗，或者 87 是否意味著除了登錄失敗次數之外的其他內容？

通過閱讀文件，我認為使用“–failed”選項只會顯示您正在執行的報告的失敗事件。預設行為是顯示失敗和成功。從手冊頁：

--failed
      Only select failed events for processing in the reports. The default is both success and failed events.

我相信該數字是該特定使用者的該特定報告的事件數。在您的情況下，有 87 個登錄事件（失敗和成功）與使用者“root”關聯，並且有 458 個登錄事件（再次，失敗和成功）與使用者“ unset ”關聯。

這是關於 aureport 的一些額外的好讀物：

• https://www.digitalocean.com/community/tutorials/understanding-the-linux-auditing-system-on-centos-7#generating-audit-reports
• http://www.golinuxhub.com/2014/05/how-to-track-all-successful-and-failed.html

引用自：https://unix.stackexchange.com/questions/274436