全审计核心是闭环：一找全任务（用户级、系统级、周期目录、systemd timer），二查执行上下文（绝对路径、禁高危模式、专用低权用户），三实时监控（auditctl盯变更、非工作时间/高危命令告警、chattr锁定日志），四验证脚本可信（gpg签名、luks加密、哈希校验）。
直接上手做全审计，核心就四件事：把所有任务找全、看清楚谁在跑什么、盯住异常行为、确保脚本本身可信。不堆工具，重逻辑闭环。
一、摸清全部定时任务来源，一个都不能漏
Linux系统里定时任务分散在多个位置，漏查一处就等于留个后门：
- 用户级任务：用 crontab -l 查当前用户；sudo crontab -u username -l 查指定用户（尤其别漏 root）
- 系统级配置：cat /etc/crontab 和 ls /etc/cron.d/ && cat /etc/cron.d/* 2>/dev/null
- 周期性目录：ls -l /etc/cron.hourly /etc/cron.daily /etc/cron.weekly /etc/cron.monthly，注意文件属主和权限
- systemd timer：systemctl list-timers --all 列出所有启用的 timer，再用 systemctl cat xxx.timer 看触发逻辑和执行命令
二、逐条检查执行上下文是否安全
重点不是“有没有任务”，而是“它怎么跑、用谁的身份、从哪调、带什么参数”：
- 所有命令必须写绝对路径，比如 /usr/bin/python3 /opt/scripts/backup.py，禁用 python3 backup.py 这类写法
- 禁止出现 sh -c、bash -c、eval、curl | sh、wget -O- | sh、base64 -d | sh 等高危模式
- 检查脚本路径是否在受控目录（如 /opt/scripts/ 或 /usr/local/bin/），严禁直接调用 /tmp/、/var/tmp/、/home/xxx/ 下的脚本
- 确认每个任务运行用户是否最小化：不用 root，不共用部署账号，应为每类任务创建专用低权用户（如 cron-backup），并通过 sudo -u cron-backup 显式切换
三、部署实时监控与基线告警
靠人工翻日志来不及，得让系统自动盯梢：
- 用 auditctl 监控关键路径变更：
auditctl -w /etc/cron.d -p wa -k cron_d_changes
auditctl -w /etc/crontab -p wa -k crontab_changes - 设置基础告警规则：非工作时间（如 02:00–05:00）触发、执行链含 wget/curl/sh -c、资源占用突增 200%、解释器从 /tmp 调起，都立即通知
- 每个任务单独输出日志，并用 chattr +a 锁定防止覆盖：
echo "0 2 * * * /opt/scripts/backup.sh >> /var/log/backup.log 2>&1" | crontab -
chattr +a /var/log/backup.log
四、验证脚本完整性，堵住“脚本被换人不知”的漏洞
攻击者常不动 crontab 配置，只偷偷替换脚本内容。防护必须前移到脚本本身：
- 对核心脚本使用 GPG 签名，执行前强制校验：
gpg --verify /opt/scripts/deploy.sh.sig /opt/scripts/deploy.sh - 敏感脚本建议存于 LUKS 加密分区，任务启动时挂载，执行完毕卸载
- 定期比对脚本哈希值，可配合 rpm -V（若打包管理）或自建 sha256sum -c 校验清单
