直接用 tmux-logging 配合合理配置即可实现终端操作的全量、可追溯、带时间戳的运维审计，它从 tmux 层捕获真实输入输出，不依赖易被绕过的 shell 历史，天然适配共享会话与自动化场景。

直接用 tmux-logging 配合合理配置，就能实现终端操作的全量、可追溯、带时间戳的运维行为审计。它不依赖用户 shell 历史（~/.bash_history 可被绕过或清空），而是从 Tmux 层捕获真实输入输出，天然适配共享会话、自动化执行等审计场景。

安装与基础配置

推荐使用 Tmux Plugin Manager（TPM）安装，稳定且易管理：

• 在 ~/.tmux.conf 中添加：
  set -g @plugin 'tmux-plugins/tmux-logging'
• 进入任意 tmux 会话，按 Ctrl+b（默认 prefix）后松开，再按 I（大写 i），TPM 自动拉取并加载插件
• 重载配置：tmux source-file ~/.tmux.conf

启用全量操作记录的关键设置

仅装插件不够，必须确保以下三项生效，才能覆盖“输入→执行→输出→报错”全过程：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

• 开启实时日志记录：按 prefix + Shift + p 启动。此后当前窗格所有键盘输入（含命令）、命令回显、错误信息、交互提示（如 Are you sure?）均被逐行写入日志文件
• 增大历史缓冲区：在 ~/.tmux.conf 中添加：
  set -g history-limit 50000
  否则 capture-pane 和完整历史导出功能将受限（默认仅 2000 行）
• 启用鼠标支持（可选但推荐）：
  set -g mouse on
  便于审计人员滚动翻阅长输出，无需退出 copy mode

生成合规可用的审计日志

原始日志可能含 ANSI 控制码（如 [39;49m），影响可读性与后续解析。建议加一层清洗：

• 安装 ansifilter：
  Ubuntu/Debian：sudo apt install ansifilter
  macOS：brew install ansifilter
• tmux-logging 检测到该工具后会自动启用过滤，输出纯文本日志，内容清晰、可 grep、可导入 SIEM 系统
• 日志默认保存至 ~/，文件名含会话名、窗口/窗格索引及精确时间戳，例如：
  tmux-prod-deploy-1-2-20260502T123045.log

审计流程闭环建议

单靠记录不够，需形成“执行—存档—核查—归档”闭环：

• 运维人员操作前，先创建命名会话：tmux new-session -s deploy-20260502-alice，确保日志文件名可识别责任人与用途
• 关键操作中，用 prefix + Alt + Shift + p 导出完整历史，作为操作凭证；用 prefix + Alt + p 快速截取某一步骤的可见输出（如部署后 systemctl status nginx 结果）
• 每日或每任务结束后，将生成的日志文件同步至安全中心（如 rsync 推送至只读审计服务器），避免本地篡改
• 禁用 ~/.bash_history 的写入权限（chmod 444 ~/.bash_history），防止与 tmux 日志冲突或被覆盖