sudo 的 mail_badpass 仅调用本地 mail 命令将密码错误通知写入 /var/mail/root，不发外网邮件、不连 smtp、不可被 soc 解析，仅作辅助审计；需配合日志监控与 api 推送实现真正告警。
sudo 本身不直接通过 Defaults mail_badpass 向管理员“发邮件”到外部邮箱或企业邮箱系统，它只做一件事：当用户输错 sudo 密码时，调用本地 mail 命令，把通知投递到系统 root 用户的本地邮箱（通常是 /var/mail/root）。
这不是 SMTP 发信，也不走网络，更不对接企业邮箱或 SOC。它的作用是留下一条可审计的本地痕迹，供管理员后续检查。
mail_badpass 是什么、怎么启用
- 它是
sudoers中一个默认开启（或可显式声明）的全局选项 - 启用后，每次 sudo 密码错误，就会触发一次本地邮件投递
- 配置写法很简单：
Defaults mail_badpass
建议放在 /etc/sudoers 或 /etc/sudoers.d/ 下的独立文件中（用 visudo 编辑），例如：
# /etc/sudoers.d/audit-fail Defaults mail_badpass Defaults logfile="/var/log/sudo.log" # 可选：额外记录 sudo 行为
验证是否生效：
sudo grep mail_badpass /etc/sudoers /etc/sudoers.d/* 2>/dev/null
它实际做了什么、你能在哪看到结果
- 不发外网邮件，不连 SMTP 服务器
- 调用类似
echo "..." | mail -s "sudo auth fail" root的命令 - 邮件内容极简，通常只有时间、用户、终端、命令等基础信息
- 邮件存放在：
-
/var/mail/root（多数发行版） - 或
/var/spool/mail/root（RHEL/CentOS 等）
-
你可以用以下命令查看：
sudo cat /var/mail/root | tail -n 20
⚠️ 注意：如果系统没装
mailutils或mailx），这条机制会静默失败——日志里不会报错，但 root 邮箱收不到任何内容。
它为什么不能替代真正的告警系统
-
仅覆盖 sudo 密码错误：SSH 登录失败、
su切换失败、sudo -u otheruser失败等都不触发 - 无结构化字段：邮件是纯文本，无法被 SIEM/SOC 自动解析（如提取 IP、用户名、时间戳）
- 无实时性保障：依赖本地 mail queue，可能延迟数秒甚至更久；且 root 邮箱没人查就等于没告警
- 不支持 Webhook/API/JSON 输出：现代 SOC 需要的是 HTTP POST、Syslog 或 Kafka 流，不是 mbox 文件
所以，mail_badpass 更适合作为辅助审计线索，而非生产环境的告警主通道。
如果你真想让管理员“收到提醒”，推荐组合方案
- ✅ 启用
mail_badpass（保留本地痕迹） - ✅ 同时监听
/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（RHEL/CentOS） - ✅ 用
rsyslog或Filebeat实时捕获含incorrect password attempt或Failed password的行 - ✅ 提取关键字段（user、src_ip、timestamp、service）并转成 JSON，推送至邮件网关、企业微信机器人、或 SOC 接入端点
例如用一行脚本快速测试：
tail -F /var/log/auth.log | grep --line-buffered "incorrect password\|Failed password" | \
while read line; do
echo "$line" | awk '{print "{\"user\":\""$9"\",\"ip\":\""$11"\",\"time\":\""strftime("%Y-%m-%dT%H:%M:%SZ")"\"}"}' | \
curl -X POST -H "Content-Type: application/json" https://your-webhook-url
done
这才是真正能“自动通知管理员”的做法。
