配置服务器权限变更追踪系统需覆盖行为源头、日志防删改、实时响应和责任闭环四层面：linux用auditd捕获sudo/su等内核级操作，windows启用审核策略并筛选关键事件id，统一外发日志至siem或tls syslog，辅以ssh限制、sudo细粒度记录及aide文件校验。
配置服务器权限变更追踪系统，关键在于捕获“谁在何时做了提权或关键配置修改”，而不是等权限结果变了才去查。它必须覆盖行为源头、日志防删改、实时响应和责任闭环四个层面。
Linux 系统：用 auditd 捕获内核级提权动作
auditd 是唯一能从系统调用层拦截 sudo、su、文件修改等操作的工具，比 shell 日志更可靠：
- 在 /etc/audit/rules.d/priv-audit.rules 中添加规则，例如：
-a always,exit -F path=/usr/bin/sudo -F perm=x -k sudo_exec-w /etc/sudoers -p wa -k sudoers_change-w /etc/passwd -p wa -k user_change - 运行
sudo augenrules --load加载，确保systemctl enable --now auditd - 验证：执行
sudo ls后，用ausearch -k sudo_exec | head -1应看到含用户、终端、时间的完整事件
Windows 系统：启用审核策略并定位关键事件ID
不开启审核策略，事件查看器里什么也看不到。重点启用四类策略：
-
审核策略更改：捕获组策略、本地安全策略调整，关注事件ID
4719（审计策略变更）、4706（新域策略） -
审核账户管理：记录用户/组创建、禁用、属性修改，对应ID
4720、4738等 -
审核对象访问：需对注册表项或配置文件手动设置 SACL，修改时触发
4663 -
审核特权使用：如加载驱动、调试程序，对应
4670、4672，可间接反映底层干预
筛选时，在事件查看器中填入上述 ID，限定时间范围与“任务类别=策略更改”即可快速定位。
统一日志收集与实时告警
本地日志易被删改，必须外发+解析：
- 用 rsyslog 或 audispd 将 /var/log/audit/audit.log 转发至远程 syslog 服务器，启用 TLS 加密
- 轻量方案：用
inotifywait + awk监听日志变化，匹配key="sudo_exec"后提取用户名并邮件告警 - 企业环境推荐接入 SIEM（如 Wazuh），自动关联登录 IP、命令参数与用户身份，识别异常组合（如 root + chmod 777）
加固基础配置，堵住审计盲区
再好的审计也拦不住绕过它的操作：
- SSH 配置中设
PermitRootLogin no，强制所有管理走普通用户 + sudo - /etc/sudoers 中启用细粒度记录：
Defaults logfile=/var/log/sudo.log，加log_input,log_output可录终端输入输出 - 避免
NOPASSWD: ALL，改用白名单授权，例如：%wheel ALL=(ALL) /bin/systemctl restart httpd - 补充 AIDE 做文件完整性校验，
aide --init建立基线，确认“改成了什么样”
