关键在于还原上下文、判断意图、触发响应，需通过强制结构化日志、多维行为分析、实时拦截链路及auditd补全实现秒级风控。
要通过审计 sudo 操作轨迹识别并拦截内部人员非法特权行为，关键不是“看到命令”，而是“还原上下文、判断意图、触发响应”。内部人员拥有合法账号和基础权限，其异常往往藏在高频、偏时、越界、绕过四类行为中——日志必须能支撑这四类判断，且响应机制需在秒级介入。
确保每条 sudo 记录携带可追溯的完整上下文
默认日志（如 /var/log/auth.log）只记“谁执行了 sudo”，无法区分是运维巡检还是横向渗透。必须强制启用结构化字段：
- 在 /etc/sudoers 中添加：
Defaults logfile="/var/log/sudo.log", log_input, log_output, tty_tickets, requiretty；用 visudo 保存，避免语法错误导致 sudo 失效 -
log_input/log_output 启用后，每次执行会在
/var/log/sudo-io/下生成带时间戳的会话目录（如20260618-012245-0001），内含 stdin、stdout、stderr 和 exit_code 文件，可用sudo sudoreplay 20260618-012245-0001完整回放 - 确认日志中稳定出现以下字段：
PWD=（操作路径）、TTY=（终端类型）、USER=（目标身份）、RUNAS=（实际切换用户）、COMMAND=（完整命令含参数），避免被截断——检查是否误设stricthostname或noexec
从轨迹中识别四类高风险行为模式
单纯查“谁用了 sudo”没意义。需结合时间、频率、命令、路径、终端等多维交叉分析：
-
偏时行为：凌晨 1–5 点执行
/usr/bin/systemctl restart nginx（非发布窗口）、工作日 23:59 批量usermod -aG docker—— 用awk '$3 > "23" || $3 快速筛查 -
越界行为：普通开发账号执行
/bin/bash、测试账号调用/usr/bin/python3 -c "import os;os.system('sh')"—— 重点监控含sh、exec、system(、!（vim/less）、-c的命令行 -
绕过行为：同一用户在
pts/0执行sudo -i后，在pts/1连续执行cat /etc/shadow——tty_tickets可隔离会话，requiretty可阻断 cron 或脚本提权 -
高频行为：1 小时内 sudo 成功次数 > 10 次，或失败后立即成功（试探性提权）—— 用
awk '{print $1,$2,$3,$NF}' /var/log/sudo.log | sort | uniq -c | sort -nr | head -10统计高频组合
建立轻量但有效的实时拦截与告警链路
日志写入 ≠ 风险阻断。需将审计结果转化为动作：
- 用 rsyslog 将
/var/log/sudo.log实时转发至 SIEM（如 ELK、Graylog），设置规则：匹配COMMAND=.*[;&|`$()|python.*-c|sh]立即标红并通知值班群 - 对已知高危命令（如
/bin/bash、/usr/bin/vim、/usr/bin/find.*-exec），在 /etc/sudoers 中显式禁用：Defaults:/bin/bash !NOEXEC+%devgroup ALL=(root) !/bin/bash，让 sudo 直接拒绝而非仅记录 - 部署 inotifywait 监控
/var/log/sudo.log文件变化，一旦检测到匹配关键词的新行，立刻执行脚本：记录源 IP（从who -u或last -n 1关联）、临时锁定该用户passwd -l username、发邮件给安全组 - 禁止任何
NOPASSWD规则未绑定具体命令或未启用NOEXEC—— 免密不等于免审，宽泛授权等于开放后门
配合系统级审计补全日志盲区
sudo 日志管不住子进程行为。例如用户 sudo su 后执行 cat /etc/shadow，sudo 日志只记 “su”，不记 “cat”。需叠加：
- 启用 auditd 监控敏感路径：
-w /etc/shadow -p r -k unauthorized_shadow_read，用ausearch -k unauthorized_shadow_read -i查真实读取者（看auid=原始用户，非uid=） - 用
find / -xdev -type f -perm -4000 2>/dev/null定期扫描 SUID 文件，发现非系统路径下的/tmp/malware，说明已有提权落地 - 对
/var/log/sudo.log设置不可删除保护：chattr +a /var/log/sudo.log（允许追加），轮转旧日志后加+i（不可修改）
