启用 sudo 命令审计日志

目标

特权命令没有留下痕迹，无法把高风险变更归因到具体人员或会话。本配方通过 sudoers.d 片段启用专用日志文件与输入输出记录，并用 visudo -c 校验配置合法，随后触发并查看日志确认记录了用户、命令与工作目录；同时提醒需配置日志轮转并转发到集中收集端。

步骤要点

1. 通过 sudoers.d 片段启用 sudo 日志。
2. 用 visudo -c 校验配置合法。
3. 触发一次 sudo 并检查日志记录内容。
4. 配置日志轮转并转发到集中收集端。

echo 'Defaults logfile="/var/log/sudo.log"' | sudo tee /etc/sudoers.d/logging
echo 'Defaults log_input, log_output' | sudo tee -a /etc/sudoers.d/logging
sudo visudo -c

排错提示

• 本地日志可被 root 篡改，需转发集中存储。
• log_output 会占用空间并涉及隐私。
• 不覆盖其他提权途径。

适用边界

• 本地日志可能被篡改。
• 记录输出内容需权衡隐私与留存。