| 用途 | 追踪特权操作 |
|---|---|
| 位置 | auth.log / secure / journal |
| 字段 | 用户、tty、命令、目标用户） |
查询
查询
sudo grep sudo /var/log/auth.log | tail -n 20 # Debian/Ubuntu
sudo grep sudo /var/log/secure | tail -n 20 # RHEL
sudo journalctl -t sudo --since today --no-pager | tail -n 30
# 只看失败与拒绝
sudo grep -E 'sudo.*(incorrect password|NOT in sudoers)' /var/log/auth.log | tail加固建议
加固建议
# sudoers 中记录更多信息
Defaults log_input, log_output
Defaults iolog_dir=/var/log/sudo-iolog_output 会记录完整会话回放，敏感命令慎重；至少保留 log_input 或命令日志供审计。