实施服务器权限实时合规检查，核心是将静态基线升级为动态守门人，通过 inotifywait+轻量脚本秒级响应四类高危权限漂移，并以 systemd 服务长期守护，联动 ci/cd 与 itsm 形成闭环。
实施服务器运行中权限状态的自动化实时合规检查，核心是把“静态基线”变成“动态守门人”——不是只在上线前查一次，而是在服务持续运行时，自动感知、比对、告警，且不干扰业务。
聚焦四类必须实时盯防的权限风险
实时检查不能全量扫描，要精准捕获高危漂移行为：
- 非 root 用户修改了 /etc/shadow、/etc/sudoers 或 /etc/ssh/sshd_config（哪怕只是 touch 一下）
- 出现新的 SUID/SGID 可执行文件，且属主不是 root（如普通用户编译并设置了 4755）
- sudoers 中新增 NOPASSWD: ALL 或未限定路径的命令授权
- 有账户被意外启用 shell（如从
/usr/sbin/nologin改为/bin/bash），且密码字段有效（非*或!）
用 inotifywait + 轻量脚本实现秒级响应
不依赖 Agent，用系统原生工具构建低开销监听链：
- 监控关键目录：
inotifywait -m -e modify,attrib,move_self,create /etc /root - 触发后立即调用权限校验脚本（如基于
stat -c "%a %U:%G %n"比对预设 YAML 基线） - 发现越权变更时，自动记录时间、用户（通过
ps -o user= -p $PPID追溯）、变更前后权限，并发企业微信/邮件告警 - 支持白名单静默（如 Ansible 执行期间临时豁免 /etc/sudoers 修改）
嵌入 systemd 服务实现开机即守卫
把检查逻辑封装为 systemd service + timer，确保长期稳定运行：
- 写一个
permission-guard.service：定义 ExecStart 执行监听脚本，Restart=always 防崩溃退出 - 配一个
permission-guard.timer：OnBootSec=1min，然后每 5 分钟执行一次全量快照比对（对比上次/etc的 sha256sum） - 日志统一走 journalctl，可设置
MaxRetentionSec=30day，满足审计留存要求
与 CI/CD 和配置平台联动形成闭环
实时检查不是孤岛，要和运维流程打通：
- CI/CD 流水线中，在部署配置文件前，调用同一套基线脚本校验目标路径是否“当前合规”，不合规则阻断发布
- Ansible Playbook 执行
copy或template后，自动触发一次本地权限验证（避免“改完就跑”） - 当检测到高危变更（如 shadow 权限变为 644），自动调用修复脚本（仅限白名单路径），并生成工单同步至 ITSM 系统
