Аудит sudo в Linux: фиксируем все действия с root-доступом
#Linux #sudo #audit #logging
sudo - акроним от Substitute User and Do (англ.) - выполнение команд с правами указанного пользователя (без указания пользователя используются права `root`)
Если не видно, кто и зачем выполнял команды через `sudo`, разбор инцидентов превращается в гадание.
- Зачем это нужно: `sudo` по умолчанию пишет минимум.
- Включить подробное логирование через `sudoers`. В файл `/etc/sudoers` (через `visudo`) добавить:
```sh
Defaults log_input,log_output
Defaults iolog_dir=/var/log/sudo-io
```
Теперь в лог `sudo` пишется не только сам факт запуска, но и ввод/вывод команды.
Даже если команду потом вычистили из `.bash_history` - лог `sudo` уже остался.
- Дополнительно можно включить привязку к TTY и пользователю:
В файл `/etc/sudoers` (через `visudo`) добавить:
```sh
Defaults use_pty
Defaults logfile=/var/log/sudo.log
```