如何监控服务器特权账户使用情况-安全-PHP中文网

有效监控服务器特权账户需覆盖“谁、何时、从哪来、做了什么”，依托auditd内核审计、sudo全命令记录、ssh会话追踪及行为分析告警，确保日志防篡改、可溯源。

如何监控服务器特权账户使用情况

监控服务器特权账户使用情况，关键在于覆盖“谁、何时、从哪来、做了什么”四个维度，且日志必须防篡改、可溯源。仅靠 history 或零散的 /var/log/secure 日志远远不够，真实有效的监控需结合内核级审计、权限执行日志、会话追踪与行为分析。

auditd 是 Linux 内核自带的审计框架，能捕获 root 和 sudo 用户的真实系统调用，绕过 shell 层干扰（如 bash -c 或脚本执行）。

安装启动：yum install audit -y && systemctl enable --now auditd（RHEL/CentOS）或 apt install auditd -y && systemctl enable --now auditd（Debian/Ubuntu）
添加关键规则（写入 /etc/audit/rules.d/privileged.rules）：
-a always,exit -F uid=0 -F perm=x -k privileged_exec
-w /etc/sudoers -p wa -k config_change
-w /bin/su -p x -k su_usage
重载规则：augenrules --load && systemctl restart auditd
查询示例：ausearch -k privileged_exec | aureport -f -i 可看到 root 执行了哪个命令、参数、终端和时间

禁止直接登录 root，所有提权操作必须走 sudo，并强制记录含参数的完整命令行。

NeoAgent

一款AI办公效率工具，主要用于销售易推出的AI‑CRM智能体平台，适合需要提升相关任务效率的用户。

下载

在 /etc/sudoers 中配置（用 visudo 编辑）：
Defaults logfile="/var/log/sudo.log"
Defaults log_input,log_output（后者支持 I/O 录制，需配合 sudo_logsrvd）
限制权限粒度，例如：
alice ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/tail /var/log/nginx/error.log
日常检查：grep 'COMMAND=' /var/log/sudo.log | tail -20 查最近命令；sudo -l -U alice 验证实际授权范围

知道“执行了什么”只是基础，“谁在什么位置发起的”同样关键，尤其要识别异常 IP、终端和时间。

增强 SSH 日志：在 /etc/ssh/sshd_config 中设置
LogLevel VERBOSE（记录认证方式与密钥指纹）
PrintLastLog yes
MaxAuthTries 3
保护日志文件权限：
chown root:root /var/log/secure /var/log/auth.log /var/log/sudo.log
chmod 600 /var/log/secure /var/log/auth.log /var/log/sudo.log
快速查登录痕迹：last -ai（IP+终端）、who -u（当前活跃会话+空闲时间）