审计 Linux 系统的操作行为的 5 种方案对比

绝大多数的系统行为都是重复多余的，比如 cron 任务计划，我们信任的程序等, 这些都会产生大量的记录，但很少用于审计分析。基于这个需求，我们在审计系统操作行为的时候，至少应该添加一些过滤规则，避免记录过多的无用信息，比如重复的 cron 任务操作，同时也要避免记录一些敏感信息，比如带密码的命令行操作。在以明文方式传输到远程日志服务器的时候，我们建议忽略记录。比如我们记录一台 web 主机中的所有 connect，accept 网络系统调用操作，虽然可以据此分析该主机所有的网络访问请求，达到安全或者故障定位的目的，但是这两个系统调用可能在短时间内产生大量的日志，对 kernel 和网络日志传输都会产生不小的压力，这种大海捞针似的审计方式我们不推荐直接在线上主机中使用，建议仅在需要定位问题的时候启用。下面我们主要介绍有哪几种方式可以实现系统操作的5种审计方式。

一、history 记录方式

history 方式 很传统也很简单，本质上是将历史的命令发送到 syslog 日志中，可以用来简单记录用户的命令操作历史。但是这种方式有几个重要的缺点，并不适合审计的目的：容易被修改，被绕过；记录太简单，没有上下文信息(比如 pid, uid, sid 等)；无法记录 shell 脚本内的操作；无法记录非登录的操作；难以实现过滤规则；

二、定制 bash 记录方式

定制 bash 方式 比较冷门，本质上是为 bash 源程序增加审计日志的功能，开发者可以据此添加一些操作命令的上下文信息，不过很难记录子进程的信息，其缺点和上述的 history 方式类似:容易被绕过，