Журнал AVC

Журнал AVC — набор сообщений SELinux Access Vector Cache, фиксирующих результаты проверок доступа, включая события type=AVC с признаком denied. Запись обычно содержит субъектный и целевой контексты SELinux, класс объекта, запрошенные разрешения, процесс и сведения о политике. Сообщения могут поступать в Linux Audit, системный журнал или централизованную систему сбора логов — это зависит от конфигурации auditd, journald и правил маршрутизации журналов. Анализ контекстов, пути к объекту и разрешений позволяет отличить ошибку метки от отсутствующего правила политики или некорректной работы приложения. Журнал AVC используют при расследовании отказов доступа SELinux, проверке новых сервисов, подготовке корректировок политики и мониторинге нарушений. Для интерпретации событий нужны данные о текущем режиме SELinux и загруженной политике. AVC log не является полным системным журналом и не заменяет журналы приложения. Он отличается от режима permissive: permissive определяет реакцию SELinux на нарушение, а журнал AVC содержит сведения о самом решении доступа; в режиме disabled такие записи не создаются.