最小化权限原则的自动化审计通过命令组合持续验证账户、服务、文件、网络四类资产的实际权限使用并自动标记越权行为：账户检查禁用shell但密码有效的用户、宽泛sudo配置及90天未登录账户；Windows服务导出登录账户并验其是否在Administrators组；文件与注册表基于auditd或Process Monitor采集运行时访问行为反推最小权限；共性动作扫描权限过松路径；闭环流程实现发现即处置、结果入库比对、定时执行与失败告警。
最小化权限原则的自动化审计，核心是让系统自己“说真话”——不依赖人工猜测，而是通过命令组合持续验证账户、服务、文件、网络四类资产的实际权限使用情况，并自动标记越权行为。
账户权限：锁定高危登录与提权路径
重点不是看“谁有sudo”，而是看“谁本不该有却有了”。每天用以下逻辑检查：
- 禁用shell但密码有效的账户：用awk -F: '$7 ~ /(nologin|false)$/ {print $1}' /etc/passwd | while read u; do grep -q "^$u:[^!*]" /etc/shadow && echo "$u: nologin + valid password"; done
- 宽泛sudo授权：执行grep -v "^#" /etc/sudoers /etc/sudoers.d/* 2>/dev/null | grep -E "(ALL\s+=\s+\(ALL\)|NOPASSWD|!/usr/bin/)"，过滤出未限定命令路径或免密提权的配置
- 90天未登录用户：运行lastlog -b 90 | awk '$NF=="**Never logged in**" || $6>90 {print $1}' | grep -v "^[[:digit:]]"，排除UID
服务权限：验证实际行为而非默认配置
Windows和Linux都需跳过“服务在跑”就认为“权限合理”的误区：
- Linux服务：用ss -tlnp | awk '{print $7}' | cut -d',' -f2 | cut -d'=' -f2 | sort -u提取所有监听进程，再对每个PID执行ps -o user= -p PID确认运行身份；接着用sudo -u $(ps -o user= -p PID) whoami /priv 2>/dev/null（Win）或sudo -u $(ps -o user= -p PID) id -Gn（Linux）查真实组成员关系
- Windows服务：导出当前服务登录账户列表Get-WmiObject Win32_Service | Where-Object {$_.StartMode -eq 'Auto'} | Select-Object Name,StartName | Export-Csv C:\audit\svc-login.csv，再批量验证其是否在Administrators组内
文件与注册表访问：基于行为日志反推最小权限
不靠人工读配置，而用运行时数据倒逼权限收敛：
- Linux：部署auditd规则监控敏感路径变更，例如auditctl -w /etc/passwd -p wa -k auth_change，再用ausearch -k auth_change --start today | aureport -f -i生成每日访问摘要
- Windows：用Process Monitor记录关键服务启动后30秒内的所有文件/注册表操作，保存为CSV，用PowerShell脚本统计TOP 10访问路径，只保留这些路径的NTFS/SACL权限，其余全部移除
- 共性动作：对所有Web目录、数据库数据目录、日志路径，执行find /var/www -type d ! -perm -g=rx -o ! -perm -o=rx 2>/dev/null（Linux）或icacls "C:\App\Data" /verify（Windows），自动发现权限过松项
自动化闭环：从发现到处置的轻量级流水线
审计不是生成PDF报告，而是触发可执行动作：
- 脚本结尾加if [ $(grep -c "nologin.*valid" /tmp/audit.log) -gt 0 ]; then awk '/nologin.*valid/{print $1}' /tmp/audit.log | xargs -I{} passwd -l {}; fi，实现“发现即锁定”
- 把每次审计结果写入SQLite数据库，字段含：时间戳、资产类型、发现项、风险等级、上次状态、处置命令；下次运行前先比对变化，仅告警新增项
- 通过cron每日凌晨2点执行，失败时自动重试一次，两次失败则发邮件给运维+安全接口人，正文带tail -5 /var/log/audit-run.log错误片段
