最直接有效的方式是监控 execve 调用中 euid ≠ uid 的行为，结合 auid 过滤与特权二进制文件执行监控，并配置持久化规则确保日志可追溯。
最直接有效的方式是结合 auditd 的系统调用捕获能力与用户上下文过滤，重点监控 execve 调用中有效 UID 变化（euid ≠ uid）的行为，同时辅以对关键二进制文件的执行监控和日志可追溯配置。
捕获真实提权动作：euid ≠ uid 的 execve 调用
这是最可靠、最难绕过的监控方式。它不依赖命令名或路径，而是从内核层识别“身份切换”这一本质行为，覆盖 sudo、su、ssh -l root、pkexec 甚至自定义提权脚本等全部场景。
- 添加规则（64 位系统）：
sudo auditctl -a always,exit -F arch=b64 -S execve -F euid!=uid -k user_priv_esc - 若存在 32 位程序，补一条：
sudo auditctl -a always,exit -F arch=b32 -S execve -F euid!=uid -k user_priv_esc - 该规则记录的是原始用户（
auid）、实际执行者（uid/euid）、执行路径（exe）和完整命令行（cmdline），而非模糊的“运行了什么命令”
锁定目标用户：通过 auid 精准过滤
审计 UID（auid）代表用户首次登录时的身份，即使后续 su 或 sudo 切换，auid 仍保持不变，是溯源的关键字段。
- 查出目标用户的
auid：id -u username（普通用户通常 ≥1000；系统账户如root为 0） - 添加带用户过滤的规则：
sudo auditctl -a always,exit -F arch=b64 -S execve -F euid!=uid -F auid=1001 -k user1001_priv_esc - 若需监控多个用户，可写多条规则，或使用
-F auid>=1000 -F auid!=4294967295排除未认证会话（如 cron）
补充监控：特权命令二进制文件被执行
作为交叉验证手段，直接盯住 /usr/bin/sudo、/bin/su、/usr/bin/passwd 等文件被“执行”的瞬间，避免参数解析带来的盲区（如 sudo --help 不触发提权但会被记录）。
- 规则示例：
sudo auditctl -w /usr/bin/sudo -p x -k sudo_execsudo auditctl -w /bin/su -p x -k su_exec -
-p x表示只监控“执行权限触发”，不关心读或写，精准对应提权意图 - 这些规则可单独用于告警，也可与
euid≠uid规则组合，提升检测置信度
确保日志可用与持久化
临时规则在重启后失效，且若 auid 缺失或日志轮转配置不当，将导致无法溯源。
- 将上述规则写入持久化文件，例如：
echo "-a always,exit -F arch=b64 -S execve -F euid!=uid -F auid=1001 -k user1001_priv_esc" | sudo tee /etc/audit/rules.d/10-user1001.rules - 重载规则：
RHEL/CentOS：sudo augenrules --load
Debian/Ubuntu：sudo systemctl restart auditd - 验证是否生效：
sudo auditctl -l | grep user1001_priv_esc
执行一次sudo ls后，检查：sudo ausearch -k user1001_priv_esc -i | head -10
