audit.log 里出现大量 AVC denied 如何快速找出哪个服务在违规

ausearch可快速聚合分析SElinux拒绝事件：先按进程名统计频次定位嫌疑服务，再结合ps -eZ和ausearch -p查上下文与AVC详情，过滤permissive记录及噪声，最后用setenforce 0验证并sealert生成修复建议。

直接看进程名和上下文，比逐行翻日志快得多。

用 ausearch 快速按进程聚合拒绝事件

执行这条命令，能立刻列出最近所有被拒的进程及其触发次数：

• sudo ausearch -m avc -ts recent –raw | audit2why | sort | uniq -c | sort -nr —— 按触发频次倒序排列，排第一的就是“头号嫌疑服务”
• sudo ausearch -m avc -ts recent -i | grep “comm=” | cut -d'”‘ -f2 | sort | uniq -c | sort -nr —— 提取 comm 字段（即进程名），统计出现次数

结合上下文锁定具体服务实例

光有进程名还不够，得确认是哪个实际服务在跑。比如看到多个 httpd，但可能是 httpd、php-fpm 或自定义脚本：

• 查进程上下文：ps -eZ | grep httpd —— 看 scontext 是否匹配（如 system_u:system_r:httpd_t:s0）
• 查对应 PID 的完整 AVC 记录：sudo ausearch -m avc -p httpd -ts recent —— 显示该进程所有被拒动作及目标路径/端口
• 若进程名不明确（如 python 或 java），加 -i 参数让 ausearch 解析为可读格式，再找 exe= 字段确认真实执行路径

排除干扰：过滤掉已知宽松域或系统噪声

有些拒绝是预期行为（如 permissive 域内记录），或来自调试工具（adb/dmesg），别被带偏：

• 跳过宽容模式下的记录：sudo ausearch -m avc -ts recent | grep -v “permissive=1”
• 排除 kernel 日志混入的旧条目：sudo ausearch -m avc -ts $(date -d ‘5 minutes ago‘ ‘+%Y-%m-%d %H:%M:%S’) -te now
• 安卓设备上常见 vendor_qtidataservices_app 类型，用 ausearch -m avc -ts recent | grep -E “comm=”|tcontext=.*vendor_” 单独提取分析

验证是否真由 SELinux 引起

最后一步交叉验证，避免误判：

• 临时切宽容模式：sudo setenforce 0，立刻重试操作；如果拒绝消失、服务恢复正常，基本坐实是 SELinux 问题
• 恢复强制模式后，用 sudo sealert -a /var/log/audit/audit.log 生成带服务建议的报告（需安装 setroubleshoot）
• 注意：ubuntu 默认不用 SELinux，先运行 getenforce 确认返回值不是 Disabled，否则这些 AVC 可能是残留日志或误报