auditd是唯一可靠方案，需用-p a监控属性变更，路径须绑定真实inode，通过auid识别原始操作者，并外接脚本实现即时告警。

要实时监控 Linux 目录下权限变更事件，核心是捕获 chmod、chown、chgrp 等修改文件属性（attribute）的操作。这类行为不改变文件内容，但直接影响访问控制，必须用内核级审计机制精准识别——auditd 是唯一可靠方案，inotify 无法提供操作者身份和命令上下文。

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

只监控属性变更，避免日志爆炸
权限变动属于文件元数据修改，对应内核系统调用 chmod、chown、fchownat 等，不是读写行为：

• 必须使用 -p a（attribute），不能混用 -p w 或 -p r
• -p wa 会把覆盖写入（如 echo > file）也计入，导致大量干扰日志
• -p r 完全无关，且高频触发（如 ls、getpwent），毫无审计价值

路径必须真实绑定 inode
auditd 的 -w 规则基于文件系统 inode 绑定，不是字符串匹配：

• 先运行 ls -i /etc 确认目标是真实目录，非软链接（如 /etc → /usr/etc）
• 规则中路径必须与 ls -i 输出完全一致：大小写、末尾斜杠、空格均影响生效
• 若监控 /root/.ssh/authorized_keys，需确保 /root/.ssh 存在且权限为 700

锁定真实操作者，绕过 sudo 伪装
UID 可被切换，但原始登录用户 ID（auid）不可伪造：

• auid= 字段标识谁最初登录并触发了操作，哪怕后续执行 sudo chmod
• comm= 显示触发命令名（如 comm="chmod" 或 comm="ansible"）
• exe= 显示实际执行程序路径（如 exe="/usr/bin/chmod"）
• 如只需告警非 root 操作，规则中加 -F auid!=0 提前过滤

实现即时告警的可行路径
auditd 本身不发通知，需外接解析层：

• 轻量级：写循环脚本，每 5 秒执行 ausearch -k etc_attr_change -m SYSCALL --start recent -i | grep "auid="，发现新条目即 logger 或 mail
• 生产级：配置 audispd 插件，将匹配事件转发至 Python 脚本，自动提取 auid、comm、exe 并推送钉钉/企业微信
• 注意：不要在循环中做耗时操作（如网络请求），防止事件积压丢失

不复杂但容易忽略