自动报告解释报告输出

Question

我在我的RHEL 6系统上运行了以下命令来生成审计报告

aureport --login --summary -i

产生以下输出的

Login Summary Report
============================
total  auid
============================
Warning - freq is non-zero and incremental flushing not selected.
458  unset
87  root

该命令被认为是根据这个拉赫尔文件为每个系统用户生成所有失败登录尝试的摘要报告。

但是，我不需要使用--failed选项来为失败的登录尝试生成输出吗？

此外，如何解释此命令的输出？它是否意味着根目录下87次失败登录，或者87意味着除失败登录数之外的其他什么？

Answer 1

通过阅读文档，我认为使用“-失败”选项只会显示正在运行的报告的失败事件。默认行为是同时显示失败和成功。来自手册页：

--failed
       Only select failed events for processing in the reports. The default is both success and failed events.

我认为，数字是该特定用户在该特定报告中发生的事件数。在您的示例中，有87个登录事件(失败和成功)与用户“根”相关联，还有458个登录事件(同样，失败和成功)与用户"取消设置“相关联。

以下是对aureport的一些更好的阅读：

• https://www.digitalocean.com/community/tutorials/understanding-the-linux-auditing-system-on-centos-7#generating-audit-reports
• http://www.golinuxhub.com/2014/05/how-to-track-all-successful-and-failed.html