| 记录位置 | auth.log/secure 的 sudo 行；journal 中 _COMM=sudo |
|---|---|
| 成功格式 | 行内含 USER、TTY 与 COMMAND= |
| 失败特征 | incorrect password attempts |
| 核对点 | 该账号日常是否用 sudo、所执行命令是否异常 |
查看 sudo 历史与失败
查看 sudo 历史与失败
grep -h 'sudo' /var/log/auth.log 2>/dev/null | grep -a 'COMMAND=' | tail -n 30
journalctl -t sudo --since "today" --no-pager | tail -n 30
grep -h 'incorrect password' /var/log/auth.log 2>/dev/null | tail -n 10攻击者拿到 sudo 后常从 sudo su - 或 sudo -i 起步；TTY 为 pts、时间点与入侵吻合的记录优先追。