由于企业内部权限管理启用了sudo权限管理，但是还是有一定的风险因素，毕竟运维、开发等各个人员技术水平、操作习惯都不相同，也会因一时失误造成误操作，从而影响系统运行。因此，征对sudo提权的操作，便于管理与后续维护，开启sudo日志审计功能对用户执行 sudo命令的操作行为，但又不记录其它命令的操作行为
一：生产环境中日志审计方案如下：
1、syslog全部操作日志审计，此种方法信息量大，不便查看
2、sudo日志配合syslog服务进行日志审计
3、堡垒机日志审计
4、bash安装监视器，记录用户使用操作
二：配置sudo日志审计
1、检测是否安装服务
[root@centos ~]# rpm -aq sudo rsyslog
rsyslog-5.8.10-8.el6.x86_64
sudo-1.8.6p3-12.el6.x86_64
You have new mail in /var/spool/mail/root
2、配置服务
[root@centos ~]# echo "Defaults logfile=/var/log/sudo.log">>/etc/sudoers
3、测试sudo日志审计
建立用户拥有sudo的权限，同时使用root用户登录查看日志/var/log/sudo.log
[oldboy@centos ~]$ sudo useradd ceshi
[sudo] password for oldboy:
oldboy 不在 sudoers 文件中。此事将被报告。
[root@centos ~]# tail -1 /var/log/sudo.log
PWD=/home/oldboy ; USER=root ; COMMAND=/usr/sbin/useradd ceshi#记录操作
