监控敏感文件权限变动必须用audit：-p a规则精准捕获chmod/chown等系统调用，支持永久配置、完整溯源；inotify的IN_ATTRIB不可靠且无用户/命令信息，仅可辅助快照比对。
Linux 运维中实时监控敏感文件的权限变动，核心在于区分两类事件来源：inotify 无法捕获权限变更（chmod/chown），它只监听文件内容或目录结构变化（如 IN_ATTRIB 仅在部分内核版本中支持且行为不稳定）；而 audit 系统原生支持精确捕获 chmod、chown、setxattr 等系统调用及属性修改动作，是权限变动监控的可靠选择。
以下直接给出可落地的方案：
监控文件权限/属主变更必须用 audit
audit 能精准跟踪 chmod、chown、chgrp、setxattr 等触发 IN_ATTRIB 语义的系统调用。例如：
-
-p a（attribute change）选项在auditctl -w中就是专为权限/属主/时间戳等元数据修改设计的 - 它不依赖文件是否被打开或读写，只要内核执行了相关 syscall，audit 就能记录
推荐配置方式（永久生效）：
- 编辑
/etc/audit/rules.d/immutable.rules，添加：-w /etc/passwd -p a -k auth_file_attr -w /etc/shadow -p a -k auth_file_attr -w /etc/sudoers -p a -k sudoers_attr -w /root/.ssh/authorized_keys -p a -k ssh_auth_attr
- 重载规则：
augenrules --load或systemctl restart auditd
✅ 验证是否生效：执行
sudo chmod 600 /etc/passwd，再运行ausearch -k auth_file_attr -m chmod, chown, setxattr | aureport -f -i
即可看到完整调用者、PID、命令行、时间戳和系统调用参数。
inotify 不适合权限变动监控，但可补位辅助判断
inotify 的 IN_ATTRIB 事件理论上表示属性变更，但在实际使用中存在严重限制：
- 多数发行版（尤其 RHEL/CentOS 7+/Ubuntu 20.04+）默认内核对
IN_ATTRIB的触发不可靠，常静默丢失 - 即使触发，也不包含是谁改的、怎么改的、改前/后值是什么——无法溯源
- 无法区分是
chmod 644还是chown root:root，更无法过滤非授权操作
不过，若你已在用 inotify 做文件内容监控，可将其作为辅助信号：
- 当
inotifywait -m -e attrib /path/to/file收到ATTRIB事件时，立即触发一次stat /path/to/file快照，并与上一次比对Uid/Gid/Mode - 结合
ps -o pid,uid,comm -p $(lsof -t /path/to/file 2>/dev/null | head -1)反查可能操作进程（效果有限，仅作线索）
关键细节提醒
- 权限变动日志默认写入
/var/log/audit/audit.log，需确保磁盘空间和轮转策略合理（参考max_log_file = 50和num_logs = 10） -
-p a规则会同时捕获chmod、chown、touch -a、touch -m等，建议用-F perm=x或-F auid!=4294967295过滤掉无登录用户的系统级修改 - 若需实时告警，可用
aureport --key auth_file_attr --start recent --format csv | grep -q "chmod\|chown" && echo "ALERT" | mail -s "Perm Change" admin@local做简单轮询（生产环境建议用audispd插件对接 SIEM）
不复杂但容易忽略：权限变动本身不是攻击，但它是提权、后门植入、横向渗透的关键前置动作。真正有效的监控，不是“看到变了”，而是“立刻知道谁、在哪、为什么变”。audit 提供的就是这个确定性。
