如何解析var log secure提取非授权Sudo执行记录并触发告警-linux运维-PHP中文网

Linux系统无sudo-log命令，非授权sudo行为日志实际存于/var/log/secure（RHEL系）或/var/log/auth.log（Debian系），关键识别字段为“NOT IN SUDOERS”“command not allowed”“NOT AUTHORIZED”，需通过grep+awk精准过滤并结合systemd timer实现轻量告警。

如何解析var log secure提取非授权sudo执行记录并触发告警

Linux 系统本身没有“sudo-log”命令，也不存在独立的 /var/log/sudo.log 文件——真正承载非授权 sudo 行为线索的日志，是 /var/log/secure（RHEL/CentOS/Fedora）或 /var/log/auth.log（Debian/Ubuntu）。所谓“非授权执行”，指用户越权运行了 sudoers 中未明确允许的命令，典型表现为日志中出现 command not allowed、NOT AUTHORIZED 或 authentication failure 等关键词。要从中提取并实时告警，需分三步走：确认日志结构、精准过滤异常、建立轻量触发机制。

看清 /var/log/secure 里哪些行代表非授权尝试

一条典型的失败提权记录长这样：

May 18 14:22:03 web01 sudo: bob : user NOT in sudoers ; TTY=pts/2 ; PWD=/home/bob ; USER=root ; COMMAND=/bin/bash

另一类是权限不足但用户在 sudoers 中（比如只被允许重启 nginx，却想删系统文件）：

May 18 14:25:11 web01 sudo: alice : command not allowed ; TTY=pts/3 ; PWD=/tmp ; USER=root ; COMMAND=/usr/bin/rm -rf /etc

注意关键识别字段：NOT IN SUDOERS、command not allowed、authentication failure、NOT AUTHORIZED。这些不是普通登录失败，而是明确暴露策略绕过意图的信号。

用 grep + awk 快速筛出高危行为

不要只用 grep sudo——它会混入大量正常操作（如 sudo -l 查询权限），干扰判断。推荐组合过滤：

查所有明确拒绝的提权尝试：sudo grep -E 'NOT IN SUDOERS|command not allowed|NOT AUTHORIZED' /var/log/secure
查最近10分钟内新增的非授权记录（配合 tail -f 实时监控）：sudo tail -f /var/log/secure | grep --line-buffered -E 'NOT IN SUDOERS|command not allowed'
提取用户+命令+时间，便于归档分析：sudo awk '/NOT IN SUDOERS|command not allowed/ {print $1,$2,$3,$9,$13,$17}' /var/log/secure（字段位置依实际日志格式微调）

用 systemd timer 或简单脚本实现轻量级告警

无需部署 ELK 或商业 SIEM，一个每5分钟运行一次的 shell 脚本就能满足基础告警需求：

新建脚本 /usr/local/bin/check-sudo-deny.sh，内容如下：

#!/bin/bash
LOG="/var/log/secure"
ALERT_FILE="/tmp/sudo_deny_alert.tmp"
LAST_CHECK="/tmp/sudo_deny_last_check"
CURRENT_TIME=$(date +%s)

# 只检查上次检查时间之后的新记录
if [ -f "$LAST_CHECK" ]; then
  SINCE=$(cat "$LAST_CHECK")
else
  SINCE=$((CURRENT_TIME - 300)) # 默认查5分钟前
fi

# 提取新出现的非授权行
sudo awk -v since="$SINCE" '$1" "$2" "$3 {cmd="date -d \""$1" "$2" "$3"\" +%s 2>/dev/null"; cmd | getline ts; close(cmd); if (ts > since && /NOT IN SUDOERS|command not allowed/) print}' "$LOG" > "$ALERT_FILE"

if [ -s "$ALERT_FILE" ]; then
  echo "【ALERT】检测到非授权 sudo 尝试：" | mail -s "SUDO DENY ALERT" admin@example.com
  cat "$ALERT_FILE" | mail -s "SUDO DENY DETAILS" admin@example.com
fi

echo "$CURRENT_TIME" > "$LAST_CHECK"

赋予执行权限：sudo chmod +x /usr/local/bin/check-sudo-deny.sh
用 systemd timer 设置每5分钟运行一次（比 cron 更可靠，支持日志追踪）

进阶建议：补全上下文，避免误报

仅靠日志关键词可能漏掉伪装行为（例如通过 sudo sh -c 'xxx' 绕过简单匹配）。可配合以下手段提升准确性：

在 /etc/sudoers 中启用 Defaults log_input，使每次输入命令的原始字符串（含空格、引号）也被记录，便于还原真实意图
限制用户只能运行白名单命令，例如：%dev ALL=(root) /bin/systemctl start nginx, /usr/bin/journalctl -u httpd，让“非授权”真正可定义、可收敛
对高频触发账号（如连续3次失败）自动加锁：sudo usermod -L username，并写入告警正文