linux用户行为审计需围绕人、动作、上下文、留存四维度构建运维体系，核心依赖auditd实现用户与进程精准绑定，覆盖身份凭证、权限控制、远程访问、执行入口四层监控，并通过日志可靠性配置与高效检索命令保障可落地性。
Linux 用户行为审计不是“装上 auditd 就完事”，而是围绕人、动作、上下文、留存四个维度构建的一套可落地的运维体系。核心目标是：当有人执行了关键操作（如改密码、提权、删日志），你能快速回答“谁、在何时、从哪台机器、用什么命令、改了什么文件”。auditd 是唯一能稳定支撑这一目标的内核级工具。
用户身份与进程行为精准绑定
auditd 的天然优势是把系统调用事件和真实用户强关联，不依赖 shell history 或 login 日志——后者极易被清除或绕过。关键在于启用 user 和 login 类规则，并确保 auditd 正确识别会话上下文。
- 确认内核支持用户会话审计：sudo cat /proc/sys/kernel/audit_backlog_limit 应大于 1024；若为 0，需在 /etc/default/grub 中添加 audit=1 并更新 grub
- 加载基础用户行为规则（写入 /etc/audit/rules.d/user.rules）：
-a always,exit -F arch=b64 -S execve -F uid!=0 -k user_cmd
-a always,exit -F arch=b64 -S setuid,setgid,setreuid,setregid -k privilege_change
-w /var/log/auth.log -p wa -k auth_log_access - 立即生效：sudo augenrules --load && sudo systemctl restart auditd
敏感文件与关键路径监控策略
只监控 /etc/passwd 这类文件远远不够。真正高风险的操作往往发生在配置变更链路上，比如修改 SSH 配置后重启服务，或编辑 sudoers 后立刻执行特权命令。要覆盖完整攻击路径，需分层布防：
- 身份凭证层：/etc/shadow、/etc/passwd、/etc/group、/etc/gshadow
- 权限控制层：/etc/sudoers、/etc/sudoers.d/、/etc/polkit-1/rules.d/
- 远程访问层：/etc/ssh/sshd_config、~/.ssh/authorized_keys（对 root 和关键运维用户）、/var/log/lastlog
- 执行入口层：/bin/su、/usr/bin/sudo、/usr/bin/pkexec、/usr/bin/ssh
每条规则必须带 -k 标签，例如：-w /etc/sudoers -p wa -k sudoers_mod。避免使用 -p rx（读+执行），除非明确需要追踪脚本执行源头。
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
日志可靠性与运维可持续性保障
auditd 日志一旦中断或轮转失败，整套审计就形同虚设。生产环境必须关闭“静默丢弃”模式，改为显式告警+保护机制：
- 编辑 /etc/audit/auditd.conf，关键参数设置为：
max_log_file = 100
num_logs = 12
space_left = 1G
admin_space_left = 256M
max_log_file_action = ROTATE
disk_full_action = SUSPEND
disk_error_action = SYSLOG - 启用日志压缩（节省空间）：compress = yes，并确保 auditctl -s | grep "enabled" 显示 enabled=2（表示压缩已激活）
- 每日检查日志健康：sudo aureport -ts yesterday -te today --summary | grep "avc\|user\|login"，结合 ausearch -i -k user_cmd -ts yesterday 抽样验证
高效检索与事件归因方法
审计日志不是用来“堆着看”的，而是为了在出事时 5 分钟内定位根因。掌握两个核心命令组合即可应对 90% 场景：
- ausearch -k "sudoers_mod" -i -ts recent：按关键词查原始事件，-i 自动解析 UID/GID 为用户名，-ts recent 快速查最近 10 分钟
- aureport -m -ts 2026-06-10 09:00:00 -te 2026-06-10 10:00:00 --key user_cmd --summary：统计指定时间段内所有用户命令执行频次，快速发现异常高频操作
- 定位某次可疑 su 切换后的全部行为：ausearch -m avc -ui 1001 -ts recent | aureport -f -i（先查 UID=1001 的 AVC 拒绝事件，再还原完整文件访问链）
不复杂但容易忽略。
