关键在于启用log_input捕获完整命令行、分离加固日志存储、最小权限授权、禁用通配符、补充auditd内核级审计，实现sudo操作全链路可追溯、防绕过、不可抵赖。
要让服务器上的 sudo 操作真正可追溯、可审计、防篡改，关键不是“开了日志”，而是确保每条记录都包含完整上下文、路径受控、内容不被绕过、权限不可抵赖。
启用完整命令行日志（含参数）
默认 sudo 日志只记命令路径，不记参数。必须显式启用 log_input 才能捕获完整执行语句：
- 用 visudo 编辑 /etc/sudoers，追加两行：
Defaults logfile="/var/log/sudo.log"
Defaults log_input - 保存后执行 sudo visudo -c 验证语法；再用普通用户执行一条带参数的命令（如 sudo ls -l /root）
- 检查 /var/log/sudo.log 是否出现类似字段：
USER : TTY=pts/0 ; PWD=/home/test ; USER=root ; COMMAND=/bin/ls -l /root
分离存储并加固日志文件权限
日志混在系统日志里难排查，且默认权限宽松易被覆盖或删除：
- 创建专属目录并设严苛权限：
sudo mkdir -p /var/log/sudo
sudo touch /var/log/sudo.log
sudo chown root:syslog /var/log/sudo.log
sudo chmod 640 /var/log/sudo.log - 配置 logrotate 自动轮转，并强制新日志权限为 600：
在 /etc/logrotate.d/sudo 中加入：
/var/log/sudo.log {
daily
missingok
rotate 30
compress
create 600 root syslog
}
限制权限范围，避免 ALL 误授权
日志再全，也挡不住一个 ALL=(ALL) ALL 的配置漏洞：
- 按最小权限原则授权，例如只允许某用户重启服务：
alice ALL=(root) /usr/bin/systemctl restart nginx - 用 Cmnd_Alias 分组管理常用操作：
Cmnd_Alias BACKUP = /usr/bin/tar -cf /backup/*, /bin/mv /tmp/*.tar.gz /backup/
%backup ALL=(root) NOPASSWD: BACKUP - 禁止通配符滥用（如 /bin/*）和危险组合（如 !/bin/sh 却放行 /bin/bash）
补充 auditd 实现内核级兜底审计
sudo 日志可被绕过（如直接调用 su 或利用 shell 特性）。auditd 可捕获 execve 系统调用，提供不可篡改证据：
- 确认 auditd 运行：sudo systemctl is-active auditd
- 添加监控规则：
sudo auditctl -a always,exit -F path=/usr/bin/sudo -F perm=x -k sudo_exec
sudo auditctl -a always,exit -F path=/etc/sudoers -F perm=r -k sudoers_read - 将规则持久化到 /etc/audit/rules.d/sudo.rules，再重启 auditd
- 事后用 sudo ausearch -k sudo_exec | aureport -f -i 查看完整调用链
