可通过配置 PROMPT_COMMAND 调用 logger 实时记录命令至 rsyslog 的 local6 设备，并结合 auditd 监控 execve 系统调用，实现 bash 命令的可靠审计、集中采集与 syslog 持久化。
不能直接将 bash 的 history 命令记录“强制升格”为系统级 syslog 事件，因为 history 本身是 shell 的会话级缓存机制，不产生内核或系统服务级别的日志消息。但可以通过合理配置和补充手段，**让历史命令变动可靠、可审计、可集中采集，并以 syslog 格式持久化到 rsyslog 系统中**。关键在于绕过 history 的局限性，改用进程行为捕获 + 主动日志注入方式。
启用 Bash 的实时命令记录（替代默认 history）
默认的 ~/.bash_history 是会话退出时才追加，不可靠、易篡改、不实时。需强制每次命令执行后立即写入并同步打标：
- 在
/etc/bash.bashrc或全局 profile（如/etc/profile.d/history-logger.sh）中添加：
说明：
– logger -p local6.info 将命令行以 syslog 格式发送给 rsyslog，使用 local6 设备避免与系统日志冲突；
– $(history 1) 获取上一条命令，sed 清除编号和空格；
– [$RETRN_VAL] 记录命令退出码，便于事后判断是否成功执行。
配置 rsyslog 接收并落盘 local6 日志
编辑 /etc/rsyslog.conf 或新建 /etc/rsyslog.d/99-history.conf：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 确保已加载基础模块：
$ModLoad imuxsock（本地 logger 支持） - 添加规则，将 local6.info 及以上级别单独保存：
再添加日志轮转支持（配合 logrotate）：
/var/log/commands.log {daily
missingok
rotate 30
compress
delaycompress
notifempty
create 644 root root
}
集中转发至远程 rsyslog 服务器（全网统一归集）
若部署了集中日志服务器（如 192.168.99.99），在所有客户端上启用转发：
- 在
/etc/rsyslog.d/99-history.conf底部追加（UDP，轻量；如需可靠用 TCP+RELP）：
注意：
– 单 @ 表示 UDP，双 @@ 表示 TCP；
– 服务端需开启 UDP/TCP 监听（$ModLoad imudp + $UDPServerRun 514）；
– 建议服务端用模板按 IP 分目录存储，例如：$template RemoteCmd,"/data/commands/%FROMHOST-IP%-%$YEAR%-%$MONTH%-%$DAY%.log"，再配 local6.* ?RemoteCmd & ~。
增强审计可靠性（防绕过、防删除）
仅靠用户 shell 配置存在被绕过风险（如调用 sh -c、python -c 或切换 shell）。建议组合加固：
- 启用
auditd监控 execve 系统调用（记录所有命令执行，含参数）： - 在
/etc/audit/rules.d/cmd.rules中添加：-a always,exit -F arch=b64 -S execve -k command_execution，然后augenrules --load - 配置 auditd 将事件转给 rsyslog：
admin_space_left_action = syslog+disk_full_action = syslog，并在/etc/audisp/plugins.d/syslog.conf中启用插件 - 禁止普通用户修改
.bash_history和相关环境变量（如HISTFILE=）：通过chattr +a ~/.bash_history（追加只读），或更彻底地，在登录 shell 中 unset HISTFILE
