关键是要监控“谁、何时、从哪来、执行何命令、是否越权”，必须依托auditd内核级审计，覆盖登录、提权、命令执行及/root目录访问，辅以sudo规范、ssh加固与日志保护。
监控服务器 root 权限使用情况，关键不是“有没有用”，而是“谁、在何时、从哪来、执行了什么命令、是否越权”。仅靠 history 或零散日志远远不够——它容易被绕过、不可靠、不防篡改。真正有效的监控必须覆盖登录行为、提权动作、命令执行和关键路径访问四个层面，并依托内核级审计机制。
启用 auditd 实现内核级操作捕获
auditd 是 Linux 内置的审计框架，能直接拦截系统调用，不受 shell 层干扰（比如 bash -c、脚本执行、sudo 绕过等）。它记录的是真实发生的动作，不是用户敲了什么。
- 安装启动：CentOS/RHEL 执行
yum install audit -y && systemctl enable --now auditd；Ubuntu/Debian 执行apt install auditd -y && systemctl enable --now auditd - 添加特权操作规则：在
/etc/audit/rules.d/privileged.rules中写入-a always,exit -F uid=0 -F perm=x -k privileged_exec-w /bin/su -p x -k su_usage-w /etc/sudoers -p wa -k config_change - 重载生效：运行
augenrules --load && systemctl restart auditd - 查执行记录：用
ausearch -k privileged_exec | aureport -f -i可看到具体哪个用户、在哪台终端、执行了什么二进制及参数
规范 sudo 使用并强制记录完整命令行
禁止直接登录 root，所有提权必须走 sudo，并确保每条命令都可追溯到人、时间、参数。
- 在
/etc/sudoers中配置：Defaults logfile="/var/log/sudo.log"Defaults log_input,log_output（后者需配合sudo_logsrvd启用 I/O 录制） - 用
visudo精确授权，例如：alice ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx - 日常检查：
grep 'COMMAND=' /var/log/sudo.log | tail -20查最近命令sudo -l -U alice验证该用户实际权限范围
强化登录来源与会话上下文追踪
知道“做了什么”还不够，必须确认“谁在什么位置发起的”——尤其是异常 IP、重复失败登录、非工作时间操作。
- SSH 配置加固：
在/etc/ssh/sshd_config中设LogLevel VERBOSE（记录认证方式）、PrintLastLog yes、MaxAuthTries 3 - 保护日志文件权限：
chown root:root /var/log/secure /var/log/auth.log /var/log/sudo.logchmod 600 /var/log/secure /var/log/auth.log /var/log/sudo.log - 快速定位会话：
last -ai查登录 IP 和终端who -u看当前活跃会话及空闲时长journalctl _COMM=sshd | grep "Failed"检索 SSH 登录失败事件
补充监控 /root 目录的非授权访问尝试
普通用户试图进入或探测 /root 目录，即使失败也应留痕。auditd 可捕获底层系统调用（如 openat、getdents64、statx），而非依赖 shell 命令。
- 在
/etc/audit/rules.d/root-access.rules中添加：-a always,exit -F dir=/root -F perm=r -F key=root_access-a always,exit -F dir=/root -F perm=x -F key=root_access-a always,exit -F arch=b64 -S openat,statx,getdents64 -F dir=/root -F key=root_access - 验证是否触发：
ausearch -k root_access --start recent | aureport -f -i - 生成统计报告：
ausearch -k root_access --start today | aureport -u -i（按用户汇总次数）
