真正有用的Linux权限审计报告聚焦四类高风险项：禁用shell却有有效密码的账户、SUID/SGID异常文件、sudoers宽泛授权、90天未登录活跃账户；每项均附明确处置动作、风险等级标签（红/黄/绿）及合规日志溯源，支持自动化执行与闭环验证。
生成一份真正有用的 Linux 用户权限分配审计报告，关键不在堆砌数据，而在让运维和安全人员一眼看清“谁越权了、哪里该改、下一步做什么”。它不是日志汇总，而是风险决策依据。
聚焦四类高风险项，不查全量
别用 find 全盘扫描再人工筛，直接锁定最可能出事的点：
- 禁用 shell 却有有效密码的账户：用
awk -F: '$7 ~ /(nologin|false)$/ && $2 != "*" && $2 != "!" {print $1}' /etc/passwd /etc/shadow 2>/dev/null一键抓出 - SUID/SGID 异常文件：重点看属主是普通用户却带 SUID 的可执行文件，命令为
find / -type f \( -perm -4000 -o -perm -2000 \) -exec stat -c "%U %a %n" {} \; 2>/dev/null | grep -v "root 4755\|root 2755" - sudoers 中的宽泛授权：提取含
NOPASSWD: ALL、ALL=(ALL)或未限定路径的规则，用grep -v "^#" /etc/sudoers | grep -E "(NOPASSWD|ALL=.*ALL|ALL=\(.*\) /bin/.*|ALL=\(.*\) /usr/bin/.*\*|ALL=\(.*\) /)" - 90 天未登录的活跃账户：排除 UID<1000 的系统账号，命令为
lastlog -b 90 | awk '$3 != "Never" && $1 != "Username" && $2 > 1000 {print $1}'
报告内容必须带处置动作
每条发现不能只写“user_x 权限异常”，要明确告诉人怎么处理：
- 发现
backup_user属于docker组 → 报告中直接写：执行gpasswd -d backup_user docker - 发现
/usr/local/bin/deploy.sh是 SUID 且属dev1→ 写：运行chmod u-s /usr/local/bin/deploy.sh && chown root:root /usr/local/bin/deploy.sh - 发现
testadmin账户 shell 为/bin/bash但密码未锁定 → 写：执行passwd -l testadmin并确认/etc/shadow第二字段为!
风险等级用颜色或标签标清：红色（立即执行）、黄色（3个工作日内复核）、绿色（已闭环）。
嵌入日常节奏，避免报告变废纸
审计报告只有被持续使用才有价值：
- 用 cron 每日凌晨 2 点自动执行，结果邮件发给运维+安全接口人，标题含日期和风险总数，如 [权限审计][2026-07-08] 高风险项：2｜中风险项：5
- 脚本本身存 Git，每次修改提交信息写明原因，例如：“新增检测 SSH 密钥过期时间，适配新基线要求”
- 每月初抽检 10% 的告警项，验证是否真需处置；若某项确属业务必需（如监控脚本需 SUID），加入白名单并备注批准人与有效期
合规字段不能靠拼凑
等保或 ISO27001 要求的字段（操作人、时间、目标、动作、结果）必须从源头捕获：
- sudo 行为：启用
Defaults logfile="/var/log/sudo.log", log_input, log_output, loglinelen=0，确保记录命令、输入、输出、退出码 - 敏感文件访问：用 auditd 监控
/etc/passwd、/etc/shadow、/etc/sudoers，规则示例：-w /etc/sudoers -p wa -k sudoers_mod - 所有日志统一打上主机名、时间戳、事件类型标签，方便 SIEM 平台归集，不依赖事后人工补字段
