要通过sudo日志审计用户高权限操作，核心是确保sudo命令的执行行为被完整、准确、不可篡改地记录，并能快速追溯到具体用户、时间、命令及上下文。
要通过Sudo日志审计用户高权限操作，核心是确保sudo命令的执行行为被完整、准确、不可篡改地记录，并能快速追溯到具体用户、时间、命令及上下文。关键不在“开启日志”，而在于“让日志真正可用”——包括格式统一、路径明确、权限受控、内容完整。
确认Sudo已启用详细日志功能
Sudo默认可能只记录简略信息（如谁在哪台机器上执行了sudo），需显式配置以捕获完整命令行、环境、TTY、工作目录等。编辑/etc/sudoers文件（务必用visudo）：
- 添加或确认存在Defaults logfile="/var/log/sudo.log" —— 指定独立日志路径，避免与系统日志混杂
- 加入Defaults log_input,log_output（可选但推荐）—— 记录命令输入输出（需配合sudo_logsrvd或使用iolog目录）
- 启用Defaults tty_tickets —— 为每个TTY生成独立时间戳票据，防止多终端会话日志混淆
- 设置Defaults requiretty（生产环境建议）—— 禁止后台进程绕过TTY直接提权，增强操作可追溯性
规范日志内容与格式，确保关键字段不缺失
默认sudo日志字段较简略（如Jul 12 10:23:45 host user : TTY=pts/1 ; PWD=/home/user ; USER=root ; COMMAND=/bin/bash）。需确保以下字段稳定出现：
- USER：目标用户（如root），判断权限提升目标
- TTY和PWD：定位操作来源终端与上下文路径
- COMMAND：完整命令行（含参数），注意避免被截断——检查sudoers中是否误设stricthostname或noexec干扰解析
- 若启用log_input，每条记录末尾应有runas和sid（会话ID），便于关联后续IO日志
保护日志文件不被篡改或删除
日志本身若可被普通管理员修改，审计即失效。必须实施访问控制：
- 设置日志文件属主为root:syslog（或专用日志组），权限为640或更严（如600）
- 在/etc/logrotate.d/sudo中配置轮转，并加入create 600 root syslog确保新日志权限正确
- 启用Linux内核的immutable属性（仅限归档日志）：chattr +a /var/log/sudo.log允许追加但禁止修改/删除；对已轮转的旧日志可使用chattr +i（需root权限解除）
- 将日志实时同步至远程SIEM或专用日志服务器（如rsyslog转发），实现异地留存
建立日常核查与告警机制
日志写入不等于审计落地。需主动消费日志：
- 用grep -E "COMMAND=.*[;&|`$()]" /var/log/sudo.log快速发现可疑命令分隔符或命令替换，提示潜在注入尝试
- 编写简单脚本每日统计非标准提权行为：如非运维账号执行/usr/bin/apt、/sbin/reboot、/bin/mount
- 在SIEM中配置规则：同一用户1小时内sudo失败超5次 → 触发弱口令或暴力试探告警；非工作时间（如02:00–05:00）sudo成功 → 标记人工复核
- 定期导出sudo -l结果并比对权限变更，确保日志中出现的命令确实在该用户授权范围内
