常见问题 UOS审计日志
UOS 审计日志查不到？服务与路径核对
审计查不到先查三处：审计服务在不在跑、日志路径与配置是否对、时间范围选没选对；服务没启用时任何日志都不会产生，这是最常见原因。
发布于 2026/11/11
所属频道 Deepin 与统信 UOS
简短答案
审计查不到记录，最常见是审计服务根本没启用——没开服务就不产生记录，先查服务再查路径。对照 UOS 服务器 2510 AMD64 条目场景：服务状态 → 日志路径 → 审计规则三步走。
排查步骤
# 1. 审计服务状态
systemctl status auditd
# 没启用则启用
sudo systemctl enable --now auditd
# 2. 看日志目录
ls -l /var/log/audit/
# 3. 看规则是否加载
sudo auditctl -l
# 4. 测试写一条自检记录
sudo auditctl -w /etc/passwd -p wa -k testkey
sudo ausearch -k testkey现象对照
| 现象 | 定位 | 处理 |
|---|---|---|
| /var/log/audit 为空 | 服务没跑 | 启用 auditd |
| 有日志但查不到目标事件 | 审计规则没覆盖该操作 | auditctl -w 补规则 |
| 查得到但时间段不对 | 时区/时间同步问题 | 先校时间再查 |
注意：审计规则改动会影响记录量与性能，规则范围以合规要求与厂商文档为准；别为了「查得到」无差别全量审计。
操作小结
systemctl status auditd先确认服务在跑。- 看
/var/log/audit/与auditctl -l。 - 缺的规则用
auditctl -w补上并自检。 - 审计策略以 UOS 服务器 2510 AMD64 条目说明为准。