Linux权限审计：通过SELinux日志识别权限冲突

SELinux权限冲突表现为静默拦截而非“权限不够”错误，需通过getenforce确认状态、setenforce临时切宽容模式验证，并用ausearch查audit.log中的AVC拒绝记录，结合audit2why解析原因、sealert生成结构化诊断。

SELinux权限冲突不会直接报“权限不够”，而是静默拦截并留下审计痕迹。关键不是看文件权限（ls -l），而是查它拒绝了什么、为什么拒绝、谁被拦住了。

确认SELinux是否在起作用

先别急着改策略，先验证是不是它干的：

• 运行 getenforce：返回 Enforcing 才说明它正在强制执行；Permissive 只记录不阻止；Disabled 则完全不参与
• 临时切到宽容模式测试：sudo setenforce 0，再试一次出问题的操作（比如启动Apache、读取某个配置文件）。如果立刻正常，基本锁定是SELinux拦截
• 记得测试完切回来：sudo setenforce 1

从audit.log里抓真实拒绝记录

/var/log/audit/audit.log 是SELinux拒绝行为的原始证据库。直接 grep 很容易漏掉关键字段，推荐用专用工具：

• 查最近的拒绝事件：sudo ausearch -m avc -ts recent
• 聚焦某个服务（如httpd）：sudo ausearch -m avc -ts recent -c httpd
• 定位特定路径（如/var/www/html）：sudo ausearch -m avc -ts recent -f /var/www/html

每条记录里都有 scontext（进程上下文）、tcontext（目标文件上下文）、tclass（对象类型，如file/dir）、perm（被拒操作，如read/write/open）——这四要素就是问题的完整画像。

用audit2why读懂拒绝原因

原始AVC日志对人不友好，audit2why 能把技术语言翻译成可理解的判断依据：

• 直接解析最近拒绝：sudo ausearch -m avc -ts recent | audit2why
• 它会告诉你具体缺哪条规则、是否违反约束、类型是否不匹配，比如：“缺少 allow httpd_t user_home_t:file read” 或 “tcontext type user_home_t does not match expected type httpd_sys_content_t”
• 比 audit2allow 更安全——它不生成策略，只帮你理解问题本质，避免盲目放行带来风险

用sealert生成结构化诊断

当问题反复出现或涉及多个拒绝事件时，sealert 会自动聚类、去重，并给出自然语言描述和修复建议：

• 批量分析：sudo sealert -a /var/log/audit/audit.log
• 输出中每个问题ID都附带：现象描述、根本原因分类（如“文件上下文错误”或“布尔值未启用”）、推荐操作（如“运行 semanage fcontext -a -t httpd_sys_content_t ‘/var/www/html(/.*)?’”）、甚至命令模板
• 适合团队协作复现和归档，也方便后续回溯