Linux sudo 日志完整记录与分析指南-安全-PHP中文网

linux sudo日志默认仅记录提权框架（如用户、时间、命令路径），不记录完整命令行参数；需配置defaults logfile="/var/log/sudo.log"并配合auditd与logrotate，才能实现带参数的完整、防篡改、可审计的操作回溯。

linux sudo 日志完整记录与分析指南

Linux 的 sudo 日志默认不记录完整命令行（比如 sudo ls -la /root 中的 -la /root），只记框架信息，如谁、何时、调用了哪个程序。要真正实现“每条提权操作都可回溯”，必须主动配置日志内容、路径和防护机制，不能依赖默认行为。

别一上来就改配置——先看系统现在怎么记的：

Debian/Ubuntu 系统默认写入 /var/log/auth.log；RHEL/CentOS/Fedora 默认写入 /var/log/secure
执行 sudo grep "COMMAND=" /var/log/auth.log | tail -3，观察是否含参数。若只看到 COMMAND=/bin/ls 而没有 -la /tmp，说明参数未启用
运行 sudo -V | grep "Default options" 查当前生效的 Defaults 项，重点关注是否有 logfile、syslog、log_input 等
注意：如果某条 sudoers 规则末尾加了 NOLOG（如 %ops ALL=(ALL) NOLOG: /usr/bin/reboot），该命令将完全不记日志

比 syslog 更轻量、更可控，适合大多数运维场景：

Linux Ai Server

Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。

下载

用 sudo visudo 编辑 /etc/sudoers，在末尾添加：
Defaults logfile="/var/log/sudo.log"
创建日志文件并设权限：
sudo touch /var/log/sudo.log && sudo chown root:root /var/log/sudo.log && sudo chmod 600 /var/log/sudo.log
测试：执行 sudo ls -l /root，再运行 sudo tail -n 1 /var/log/sudo.log，应看到类似：
Jun 6 18:05:22 host user1 : TTY=pts/0 ; PWD=/home/user1 ; USER=root ; COMMAND=/bin/ls -l /root
关键点：确保没配 !syslog（会关闭所有日志输出），且不要漏掉 requiretty（某些旧版本需它才能正确记录参数）

仅靠文本日志远远不够——root 用户可删改 /var/log/sudo.log，交互式 shell（如 sudo -i）后续命令也不进日志：

启用 auditd 补足短板：
sudo systemctl enable --now auditd
添加规则：
sudo auditctl -a always,exit -F path=/usr/bin/sudo -F perm=x -k sudo_exec
查结果：ausearch -m execve -i -ts recent | grep sudo，输出含完整 argv
禁止修改已有日志：
sudo chattr +a /var/log/sudo.log（允许追加，禁止删除/覆盖）
配置 logrotate 防止单文件过大，并确保新日志权限正确：
在 /etc/logrotate.d/sudo 中加入：
/var/log/sudo.log { daily missingok compress rotate 7 create 600 root root }
重要提醒：通过 sudo su - 或 sudo -i 进入的 root shell，其内部所有命令（如 rm -f /tmp/*）不会被 sudo 记录——这是设计使然，不是配置问题

不用翻原始文件也能高效定位风险操作：

查最近 2 小时所有提权执行：
journalctl _COMM=sudo --since "2 hours ago" | grep "COMMAND="
筛高危命令模式（分号、管道、反引号、$()）：
awk '/COMMAND=.*[;&|`$()]/ {print $0}' /var/log/sudo.log
统计各用户 sudo 使用频次：
awk '/COMMAND=/ {print $5}' /var/log/sudo.log | sort | uniq -c | sort -nr
对比 auth.log 和 sudo.log 是否一致，排查是否因 rsyslog 冲突导致漏记