根访问权限如何记录操作日志

“根访问权限（root 权限）操作日志”通常指 Linux / Unix 系统中以 root 身份执行的操作记录，用于安全审计和故障追溯。下面按常见场景给你一套实用方案。

一、基础：系统自带日志（最先做）

1. 查看历史命令（最基础）

# root 的历史命令
cat /root/.bash_history

# 当前会话历史
history

⚠️ 问题：

• 可被用户清空（history -c）
• 不记录时间、来源 IP

✅ 改进：

# 在 /root/.bashrc 中加
export HISTTIMEFORMAT="%F %T "
export HISTSIZE=10000

二、推荐方案：使用 sudo + 审计日志（最规范）

2. 禁止直接 root 登录，统一用 sudo

# /etc/ssh/sshd_config
PermitRootLogin no

用户通过：

sudo command

日志位置：

/var/log/secure        # CentOS / RHEL
/var/log/auth.log      # Ubuntu / Debian

记录内容：

• 谁
• 从哪台机器
• 执行了什么命令
• 时间

三、强审计：auditd（企业级推荐）

3. 安装 audit

yum install audit -y     # CentOS
apt install auditd -y    # Ubuntu

4. 监控 root 操作

# 监控所有 root 执行的命令
auditctl -a always,exit -F uid=0 -S execve

日志查看：

ausearch -ui 0
aureport -x

✅ 优点：

• 不可轻易篡改
• 可对接 SIEM

四、命令级记录：pam_tty_audit（记录键盘输入）

# /etc/pam.d/system-auth 或 su / sudo
session required pam_tty_audit.so enable=root

查看：

ausearch -m tty

⚠️ 会记录密码输入，需加密存储

五、高级：rootsh / sudoreplay（像录像一样）

sudo yum install sudosh

可回放 root 会话，像“终端录像”。

六、生产环境最佳实践（总结）

✅ 推荐组合：

1. 禁止 root 直接登录
2. 统一 sudo 操作
3. auditd 记录系统调用
4. 日志发送到远程日志服务器

# rsyslog 远程
*.* @log-server:514

如果你告诉我：

• 系统是 CentOS / Ubuntu / 麒麟 / 欧拉
• 是 物理机 / 容器 / 云服务器
• 是 合规审计 / 安全追溯 / 故障排查

我可以给你一套可直接复制执行的配置。