真正有效的sudo邮件告警方案是用auditd捕获执行动作+脚本解析日志+smtp发送结构化告警：配置auditd监听/usr/bin/sudo调用，inotifywait实时监控审计日志，触发mail命令发信至主管邮箱，并扩展su/pkexec监控及ip提取逻辑。

Linux 运维中配置 sudo 邮件告警，核心不是靠 Defaults mail_badpass——它只在输错密码时发本地邮件，不覆盖真实提权行为，也无法对接主管邮箱。真正有效的方案是：用 auditd 捕获 sudo 执行动作 + 脚本实时解析日志 + 通过已配置的 SMTP 邮件通道发送结构化告警。

捕获真实 sudo 执行行为（绕过 shell 层）

sudo 命令本身不直接发外网邮件，但它的执行会触发内核系统调用。auditd 是唯一能稳定监听这类行为的工具：

• 确认 auditd 已启用：sudo systemctl is-active auditd，未运行则执行 sudo systemctl enable --now auditd
• 在 /etc/audit/rules.d/priv.rules 中添加规则：
  -a always,exit -F path=/usr/bin/sudo -F perm=x -k sudo_exec
• 重载规则：sudo augenrules --load && sudo systemctl restart auditd
• 验证是否记录：执行 sudo whoami 后，运行 ausearch -k sudo_exec -i | tail -1，应看到含用户、终端、命令参数的完整条目

实时提取并触发邮件通知

避免用 crontab 轮询造成延迟，改用 inotifywait 监听审计日志变化：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

• 安装依赖：sudo apt install inotify-tools -y（Ubuntu）或 sudo yum install inotify-tools -y（CentOS）
• 创建告警脚本 /usr/local/bin/sudo-alert.sh：
  

  #!/bin/bash<br>while inotifywait -e modify /var/log/audit/audit.log 2>/dev/null; do<br>  if ausearch -k sudo_exec -ts recent -i | grep -q "uid=[0-9]\+"; then<br>    EVENT=$(ausearch -k sudo_exec -ts recent -i | tail -1)<br>    echo "$EVENT" | mail -s "[⚠️ 高危提权] $(hostname)" ops-manager@company.com<br>  fi<br>done

• 赋予执行权限：chmod +x /usr/local/bin/sudo-alert.sh

确保邮件能真正送达主管邮箱

告警脚本能跑通的前提，是系统已具备稳定 SMTP 发信能力：

• 安装并配置 mailx 或 mailutils，例如 Ubuntu：sudo apt install mailutils -y
• 编辑 /etc/mail.rc，添加 QQ 邮箱示例：
  

  set from=alert@company.com<br>set smtp=smtps://smtp.qq.com:465<br>set smtp-auth-user=alert@company.com<br>set smtp-auth-password=your_app_password<br>set smtp-auth=login<br>set ssl-verify=ignore

• 测试发信：echo "测试告警" | mail -s "sudo 告警测试" ops-manager@company.com，收到即通

加固与防漏报建议

仅监控 sudo 不够，攻击者可能用 su、pkexec 或直接 root 登录绕过：

• 扩展 auditd 规则，加入：
  

  -a always,exit -F path=/bin/su -F perm=x -k su_exec<br>-w /var/log/auth.log -p wa -k auth_log_write

• 在告警脚本中增加 IP 和用户名提取逻辑，便于快速定位来源：
  IP=$(echo "$EVENT" | awk -F'cwd="|"' '{print $2}' | cut -d' ' -f1)
• 收件人设为运维主管邮箱，并 -c 抄送值班群组邮箱，确保多人可见