系统全局环境变量审计白名单的核心是“只允许什么”，需通过显式声明可信路径、阻断动态解析、建立可验证准入清单来切断参数污染与命令劫持链路。
配置系统全局环境变量审计白名单，核心不是“加什么”，而是“只允许什么”——通过显式声明可信路径、阻断动态解析、建立可验证的准入清单，从源头切断参数污染与命令劫持链路。
明确白名单范围与准入原则
白名单不是路径列表，而是带校验规则的准入策略：
- 只接受绝对路径，禁用
~、$HOME、%PROGRAMFILES%等变量引用（防止上游变量被篡改导致PATH间接污染） - 路径必须归属root（Linux/macOS）或SYSTEM/Administrators（Windows），且组/其他用户无写权限（
chmod 755或ACL严格限制） - 目录内不可含符号链接（尤其指向
/tmp或用户目录），所有文件需签名或哈希校验（如SHA256SUMS文件随工具包发布） - 优先选择厂商标准安装路径：Linux为
/usr/bin、/usr/local/bin；Windows为C:\Windows\System32、C:\Program Files\Java\jdk-xx\bin
落地白名单配置方式
避免直接编辑/etc/profile或系统Path字段，采用可审计、可回滚的隔离加载：
-
Linux/macOS：在
/etc/profile.d/whitelist.sh中定义，内容仅含export PATH="/usr/local/bin:/usr/bin:/bin"（不拼接原有PATH），禁止使用$PATH扩展 -
Windows：用PowerShell脚本生成静态Path字符串，再通过
setx /m PATH "C:\Windows\System32;C:\Program Files\Git\cmd"覆盖（非追加），并禁用注册表自动拼接 - 所有新增路径须附带说明文件（如
/etc/profile.d/whitelist-why.txt），注明用途、来源、上次审计时间
自动化审计与异常识别
白名单生效后需持续验证是否被绕过：
- 每日定时检查：
echo $PATH | tr ':' '\n' | while read p; do [ -d "$p" ] || echo "MISSING: $p"; done（Linux） - 扫描world-writable路径：
find /usr/local/bin /opt -type d -perm -o+w 2>/dev/null，发现即告警 - Windows用PowerShell比对注册表
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment\Path与白名单快照差异 - 记录每次PATH变更的进程树（Linux用
auditctl -a always,exit -F arch=b64 -S execve -k env_change），关联到具体用户和命令
入侵行为特征与响应动作
以下迹象表明白名单已被突破，需立即响应：
- PATH中出现
/tmp、/var/tmp、%USERPROFILE%\AppData\Local\Temp等临时目录 - 存在指向
/home/*/.local/bin或C:\Users\*\Downloads的路径（非特权用户可写） - 同一路径多次出现在PATH中（可能为劫持试探）
- PATH长度突增超2048字符（Windows）或4096字节（Linux），常见于恶意注入
确认异常后，应冻结对应账户、恢复备份快照、排查登录日志，并重签所有受影响二进制文件。
