| 加固项 | 提权命令审计 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 高 |
| 基线 | 提权入口全部可追溯 |
规则与查询
规则与查询
-a always,exit -F arch=b64 -S execve -F path=/usr/bin/sudo -k priv_cmd
-a always,exit -F arch=b64 -S execve -F path=/bin/su -k priv_cmd
-a always,exit -F path=/usr/bin/passwd -F perm=x -k priv_cmd
ausearch -k priv_cmd --start today | head -40auid 是登录时身份，之后切用户也不变：遇提权事件先看 auid 找真人，再看 proctitle 看动作。