linux sftp能审计吗

可以的，Linux 下的 SFTP 是可以被审计（记录操作日志）的，只是默认情况下 SFTP 只记录登录和退出，不记录具体文件操作。下面按常见方案给你梳理一下。

一、SFTP 默认审计能力

使用 OpenSSH 自带的 sftp-server：

• ✅ 记录内容（默认）
  • 用户登录 / 退出
  • 认证失败
• ❌ 不记录
  • 上传 / 下载 / 删除文件
  • 具体执行了哪些 SFTP 命令

日志位置通常是：

/var/log/secure        # CentOS / RHEL
/var/log/auth.log      # Debian / Ubuntu

二、开启 SFTP 命令级审计（推荐）

方法 1：使用 OpenSSH 内置日志（最简单）

修改 SSH 配置：

# /etc/ssh/sshd_config
Subsystem sftp internal-sftp -l INFO -f AUTH

或指定更详细的日志：

Subsystem sftp internal-sftp -l VERBOSE -f AUTH

重启 SSH：

systemctl restart sshd

效果：

• 可看到 SFTP 子命令（open、read、write、remove 等）
• 但不记录完整文件路径细节有时候不够清晰

✅ 适合：轻量审计

方法 2：使用 sftp-server 的日志参数（更清晰）

Subsystem sftp /usr/libexec/openssh/sftp-server -l INFO -f AUTH

或直接强制使用 internal-sftp：

Match Group sftpusers
    ChrootDirectory /data/sftp/%u
    ForceCommand internal-sftp -l VERBOSE -f AUTH

三、完整文件操作审计（强烈推荐）

方法 3：使用 auditd（内核级审计）

适合合规、等保、审计要求高的场景。

监控某个目录：

auditctl -w /data/sftp/ -p rwxa -k sftp_audit

查看日志：

ausearch -k sftp_audit

或：

/var/log/audit/audit.log

✅ 可记录：

• 谁
• 什么时间
• 对哪个文件
• 做了读 / 写 / 删除

❌ 缺点：

• 日志量大
• 需要调优

四、第三方 / 商业方案（企业级）

如果你需要：

• Web 审计界面
• 报表
• 用户隔离
• 上传下载明细

可以考虑：

• ProFTPD + SFTP
• vsftpd（仅 FTP）
• 商业 SFTP 服务器（如 CrushFTP、Cerberus）
• JumpServer / 堡垒机（强烈推荐）

堡垒机是最标准的 SFTP 审计方案。

五、总结建议

如果你愿意，可以告诉我：

• 用的什么 Linux（CentOS / Ubuntu）
• SFTP 是给内部还是外部用户
• 是否需要等保 / 合规

我可以直接给你一份可落地的配置示例。