日志溯源53 条

sudo 使用记录判读

sudo 记录执行者、目标用户与命令：关注服务账号执行交互命令、运维账号执行非常规命令、连续提权尝试失败。

用途	识别提权与非常规执行
字段	user/TTY/COMMAND

检索

grep 'COMMAND=' /var/log/auth.log | tail -50
grep 'sudo' /var/log/auth.log | grep -v 'session opened' | tail -30

与账号登录时间交叉：非登录期出现 sudo 记录即可疑。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌