工作中我们常常遇到，有的员工不安于被分配的权限，老是想sudo echo "ziji" /usr/bin/visudo NOPASSWD:ALL来进行提权，造成误删了数据库某条重要的数据，或者执行了一条命令对线上生产造成了严重的影响，部门老大又苦于找不到造成这种现象的操作者，CTO对你们部门直接扣除绩效，这样你们集体成了背锅侠。。。为了记录员工做的违规操作行为，所以就有了以下的方案。
我们今天要学习的是：sudo日志审计，专门对使用sudo命令的系统用户记录其执行的命令相关信息。说明：所谓sudo命令日志审计，并不记录普通用户的普通操作，而是记录，那些执行sudo命令的用户的操作。
１、安装sudo命令，rsyslog服务
２、配置/etc/sudoers
增加配置 “Defaults logfile=/var/log/sudo.log” 到/etc/sudoers中，注意：不包含引号。
３、配置系统日志/etc/rsyslog.conf
增加配置local.debug到/etc/rsyslog.conf中
４、重启syslog内核日志记录器
[root@lrz ~]# /etc/init.d/rsyslog restartShutting down system logger: [ OK ]Starting system logger: [ OK ]
此时，会自动建立一个/var/log/sudo.log文件（日志中配置的名字）并且文件权限为600，所有者和组均为root(如果看不到日志文件，就退出重新登录看看)。
[root@king ~]# ls -l /var/log/sudo.log-rw-------. 1 root root 0 Dec 3 14:50 /var/log/sudo.log
５、测试sudo 日志审计结果
根据前文讲解的建立用户oldboy拥有sudo 权限，同时使用root用户登录查看/var/log/sudo.log[xiaorui@lrz ~]$ sudo useradd zzy[sudo] password for xiaorui:[xiaorui@lrz ~]$ sudo userdel zzy[xiaorui@lrz ~]$ cd /home[xiaorui@lrz home]$ lsxiaorui zzy[xiaorui@lrz home]$ sudo userdel -r zzyuserdel: user 'zzy' does not exist[xiaorui@lrz home]$ rm -rf zzy/rm: 无法删除"zzy": 权限不够[xiaorui@lrz home]$ sudo rm -rf zzy/[xiaorui@lrz home]$ lsxiaorui
查看日志统计结果：
[root@lrz ~]# tail -20 /var/log/sudo.logDec 3 14:53:03 : xiaorui : TTY=pts/0 ; PWD=/home/xiaorui ; USER=root ; COMMAND=/usr/sbin/useradd zzyDec 3 14:53:14 : xiaorui : TTY=pts/0 ; PWD=/home/xiaorui ; USER=root ; COMMAND=/usr/sbin/userdel zzyDec 3 14:53:36 : xiaorui : TTY=pts/0 ; PWD=/home ; USER=root ; COMMAND=/usr/sbin/userdel -r zzyDec 3 14:53:53 : xiaorui : TTY=pts/0 ; PWD=/home ; USER=root ; COMMAND=/bin/rm -rf zzy/Dec 3 14:54:03 : xiaorui : TTY=pts/0 ; PWD=/home ; USER=root ; COMMAND=/bin/su -
生产环境日志审计解决方案：
所谓日志审计，就是记录所有系统及相关用户行为的信息，并且可以自动分析，处理，展示（包括文本或着录像） 方法１：通过环境变量命令及syslog服务进行全部日志审计（信息太大，不推荐） 方法２：sudo配合syslog服务，进行日志审计（信息较少，效果不错） 方法３：在bash解释器程序里嵌入一个监视器，让所有被审计的系统用户使用修改过的增加了监视器的特殊bash程序作为解释程序。 方法４：齐治的堡垒机：商业产品日志集中管理（了解）：
１、rsync+inotify或定时任务＋rsync,推到日志管理服务器上，10.0.0.7_20151203.sudo.log ２、rsyslog服务来处理[root@lrz ~]# echo "10.0.2.164 logserver">>/etc/hosts[root@lrz ~]# echo "*.info @logserver">>/etc/rsyslog.conf
３、日志收集解决工具:scribe,flume,stom,logstashLInux