auditd可完整记录sshd交互式会话全过程：通过持久化规则捕获sshd启动、用户shell执行、进程退出及状态，结合pam_loginuid.so绑定会话id（ses），再用ausearch按ses聚合事件并提取exit字段获取退出码。
要在 Linux 中通过 auditd 完整记录所有由 sshd 启动的交互式会话（包括登录、命令执行、退出及退出状态），需结合审计规则、会话上下文追踪和日志解析。核心思路是：捕获 sshd 进程的生命周期（execve、exit）、关联其子进程（如 bash、zsh），并确保退出状态（exit 系统调用的 status 字段）被记录。
启用 auditd 并配置关键规则
确保 auditd 正在运行，并添加以下持久化规则（写入 /etc/audit/rules.d/sshd-session.rules）：
-
-a always,exit -F arch=b64 -S execve -F path=/usr/sbin/sshd -F key=sshd-exec —— 捕获每次
sshd进程启动（含登录触发） -
-a always,exit -F arch=b64 -S execve -F uid>=1000 -F gid>=1000 -F key=interactive-shell —— 捕获普通用户启动的 shell（如
/bin/bash），避免匹配系统服务 - -a always,exit -F arch=b64 -S exit,exit_group -F key=sshd-session-exit —— 记录所有进程退出事件，用于提取退出状态
- -w /var/run/utmp -p wa -k login-session —— 监控登录记录变更（辅助验证会话起止）
加载规则：sudo augenrules --load 或 sudo systemctl restart auditd。
确保 sshd 以非特权模式运行并保留审计上下文
sshd 默认以 root 启动，但派生出的用户 shell 需继承审计会话 ID（ses）。确认 /etc/ssh/sshd_config 中已设置：
-
UsePrivilegeSeparation yes（旧版本）或更推荐UsePrivilegeSeparation sandbox（现代 OpenSSH）—— 保证子进程不丢失审计上下文 -
ForceCommand和PermitUserEnvironment no保持默认，避免绕过审计链 - 确保
PAM加载pam_loginuid.so（通常在/etc/pam.d/sshd中已有）：session required pam_loginuid.so—— 这是auditd关联uid和ses的关键
提取完整会话链与退出状态
ausearch 可按会话 ID（ses）或关键字聚合事件。例如，查找某次登录后的完整会话：
- 先查登录触发：
sudo ausearch -m EXECVE -i -k sshd-exec | grep "comm=\"sshd\".*tty" - 提取该事件的
ses值（如ses=12345），再查整个会话：sudo ausearch -i -ses 12345 --start recent - 过滤退出状态：
sudo ausearch -m EXIT -i -ses 12345 | grep -E "(exit|status)"——exit字段即子进程返回码（如exit=0表示成功退出）
注意：交互式 shell 的退出状态记录在它自身 exit 事件中，而非 sshd 进程的退出事件里。
补充建议：增强可读性与长期归档
- 使用
autrace对单个测试会话做深度跟踪（仅调试用）：sudo autrace -r -s -e /usr/sbin/sshd - 配置
audispd插件（如audisp-remote或自定义脚本）将含key=interactive-shell和key=sshd-session-exit的事件实时转发到 SIEM - 定期用
aureport -ts today -m EXECVE,EXIT --key interactive-shell,sshd-session-exit生成摘要报表 - 退出状态本身不加密，若需合规（如等保、PCI），应配合日志加密传输与访问控制
