Linux系统不内置root权限变更实时告警，但可通过auditd捕获su/sudo/login等提权行为，结合inotifywait或swatch实时解析/var/log/audit/audit.log中key="root_access"事件，并通过syslog、邮件或Webhook秒级告警，再辅以PAM限制、sudoers最小化授权及禁用root远程登录实现纵深防御。
Linux 系统本身不内置 Root 权限变更的实时告警机制，但可通过组合系统审计、日志监控与轻量脚本实现“检测到 root 权限使用行为（如 su、sudo、login as root）后立即通知”的效果。关键不是“权限变更”本身（权限是静态属性），而是敏感提权行为的发生——这才是安全监控的真实目标。
以下为实用、可落地的配置方案，兼顾可靠性与低侵入性：
? 1. 启用并配置 auditd 审计系统（核心检测层）
auditd 是 Linux 内核级审计工具，能精准捕获 execve 系统调用，包括所有提权命令执行。
-
确保 auditd 已安装并运行：
sudo systemctl enable --now auditd
-
添加规则，监控关键提权程序（写入
/etc/audit/rules.d/root-alert.rules）：-a always,exit -F path=/bin/su -F perm=x -k root_access -a always,exit -F path=/usr/bin/sudo -F perm=x -k root_access -a always,exit -F path=/bin/login -F perm=x -k root_access -a always,exit -F path=/usr/bin/pkexec -F perm=x -k root_access
-
重载规则：
sudo augenrules --load
✅ 效果：每次执行
su、sudo等命令，都会在/var/log/audit/audit.log中生成带key="root_access"的审计事件，含用户、终端、时间、命令行参数（需开启-F auid!=4294967295可排除无登录会话）。
? 2. 部署实时日志告警（主动推送层）
使用 ausearch + logger + mail 或 curl 实现秒级响应（推荐用 swatch 或轻量 inotifywait + awk 脚本）：
示例：基于 inotifywait 的简易实时告警脚本（保存为 /usr/local/bin/root-alert.sh）
#!/bin/bash
LOG="/var/log/audit/audit.log"
PIPE="/tmp/audit_alert_pipe"
mkfifo -m 600 "$PIPE" 2>/dev/null || :
# 持续 tail 并过滤 root_access 事件
tail -n0 -f "$LOG" 2>/dev/null | while IFS= read -r line; do
if echo "$line" | grep -q "key=\"root_access\""; then
# 提取关键字段（用户、终端、命令）
USER=$(echo "$line" | sed -n 's/.*auid=\([^ ]*\).*/\1/p')
TTY=$(echo "$line" | sed -n 's/.*tty=\([^ ]*\).*/\1/p')
CMD=$(echo "$line" | sed -n 's/.*exe="[^"]*".*cmdline="\(.*\)".*/\1/p' | cut -d' ' -f1-3)
# 发送本地 syslog 告警（便于集中收集）
logger -t "SECURITY-ALERT" "ROOT ACCESS DETECTED: auid=$USER tty=$TTY cmd=$CMD"
# 可选：发邮件（需已配置 mailx/postfix）
# echo "Time: $(date) | User: $USER | TTY: $TTY | Command: $CMD" | mail -s "[ALERT] Root Access on $(hostname)" admin@example.com
# 可选：调用 webhook（如企业微信/钉钉）
# curl -X POST "https://your-webhook-url" -H "Content-Type: application/json" \
# -d "{\"msgtype\":\"text\",\"text\":{\"content\":\"⚠️ Root access: $USER via $TTY ($CMD)\"}}"
fi
done > "$PIPE" &- 赋予执行权限并开机启动：
sudo chmod +x /usr/local/bin/root-alert.sh sudo systemctl enable --now root-alert.service # 需配套编写 systemd service 文件
? 3. 补充加固：限制非必要提权路径（降低误报+提升安全基线）
-
禁止普通用户直接
su到 root（仅允许 wheel 组）：echo "auth required pam_wheel.so use_uid" | sudo tee -a /etc/pam.d/su echo "SU_WHEEL_ONLY yes" | sudo tee -a /etc/login.defs sudo usermod -aG wheel $USER # 将授权用户加入 wheel
-
严格管控
sudoers，禁用NOPASSWD全权限（除非明确需要）：sudo visudo # 推荐写法（最小权限）： # %admin ALL=(ALL) ALL # %wheel ALL=(ALL) /usr/bin/systemctl restart nginx, /usr/bin/journalctl -u sshd
-
禁用 root 远程 SSH 登录（防暴力破解）：
echo "PermitRootLogin no" | sudo tee -a /etc/ssh/sshd_config sudo systemctl restart sshd
不复杂但容易忽略：真正有效的告警依赖审计日志的完整性和告警通道的可达性。务必测试 sudo ls 是否触发日志条目，并验证邮件/Webhook 是否真实送达。
