如何审计服务器Root Access权限使用情况

审计服务器 Root Access（根权限）使用情况，核心目标是：谁、何时、从哪、做了什么、结果如何，并满足合规与安全要求。下面从 策略 → 技术手段 → 审计流程 → 最佳实践 完整说明。

一、先明确：要审计什么？

二、基础审计手段（Linux 服务器）

1️⃣ sudo 审计（最推荐）

1. 确保使用 sudo 而非直接 root 登录

# /etc/ssh/sshd_config
PermitRootLogin no

2. sudo 日志配置

# /etc/sudoers
Defaults log_output
Defaults logfile="/var/log/sudo.log"
Defaults timestamp_timeout=5

✅ 可审计：

• sudo 提权
• 执行的命令
• 用户 & 时间

3. sudo 日志示例

Aug 20 10:12:01 server sudo: user01 : TTY=pts/0 ; PWD=/home/user01 ; USER=root ; COMMAND=/bin/bash

2️⃣ 审计 Bash / Shell 操作（命令级）

方法 A：history + auditd（基础）

export HISTTIMEFORMAT="%F %T "

⚠️ 缺点：可被用户绕过

方法 B：auditd（强烈推荐）

# 监控 sudo 和 su
auditctl -w /usr/bin/sudo -p x -k sudo_usage
auditctl -w /usr/bin/su -p x -k su_usage

查看日志：

ausearch -k sudo_usage

✅ 可审计：

• 精准命令执行
• 用户 ID
• 执行时间
• 是否被篡改

3️⃣ 审计 Root 登录（SSH / 本地）

SSH 审计

journalctl -u sshd

或：

/var/log/secure      # RHEL/CentOS
/var/log/auth.log    # Debian/Ubuntu

关注：

• Accepted
• Failed
• root login
• 来源 IP

4️⃣ 审计 PAM / 会话

session required pam_tty_audit.so enable=root

✅ 可记录 root 的键盘输入（高级）

三、集中化审计（生产环境必备）

1️⃣ 日志集中收集

2️⃣ 审计 Root 使用告警规则（示例）

• 连续 sudo
• root shell 打开时间 > 30 分钟
• 非正常时间 root 使用
• 从陌生 IP sudo

四、审计流程（可落地）

✅ 月度审计流程

1. 导出 sudo 日志
2. 导出 auditd 提权记录
3. 关联用户 & 工单
4. 检查异常命令
   • rm -rf
   • chmod 777
   • 修改 /etc/passwd
5. 生成审计报告

五、合规视角（ISO / SOX / 等级保护）

六、最佳实践（强烈建议）

✅ 禁止 root 直接登录
✅ 只通过 sudo 提权
✅ sudo 仅限必要命令
✅ 使用堡垒机 / Jumpserver
✅ 启用 auditd + 日志远程存储
✅ 定期审计 + 自动化告警

七、不同场景建议

八、一句话总结

审计 root 权限不是看“有没有用 root”，而是看“谁、何时、为什么、做了什么、是否被授权”。

如果你愿意，我可以：

• ✅ 给你 auditd 审计规则模板
• ✅ 设计 Root 权限合规审计清单
• ✅ 帮你写 自动化审计脚本
• ✅ 结合 Linux / 云服务器 / 合规标准

告诉我你现在的服务器规模和合规要求即可。