sudo日志默认存储在/var/log/auth.log（Debian系）或/var/log/secure（RHEL系），可通过grep、tail等命令筛选用户操作、成功命令及失败尝试，日志包含时间、用户、命令等信息；可通过visudo配置独立日志文件及输入输出记录，结合journalctl、awk或集中日志系统进行高效分析与审计。
在Linux系统中，sudo命令的使用通常会被记录下来，方便管理员审计用户权限操作。查看和分析sudo日志对系统安全监控至关重要。默认情况下，sudo的日志信息会写入系统日志文件中，具体位置因发行版而异。
sudo日志默认存储位置
sudo命令的行为通常记录在以下日志文件中：
- /var/log/auth.log：Debian、Ubuntu等基于Debian的系统使用此文件记录认证相关事件，包括sudo执行情况。
- /var/log/secure：RHEL、CentOS、Fedora等Red Hat系列系统将sudo日志记录在此文件中。
你可以使用cat、less或tail命令查看这些文件内容。例如：
sudo tail /var/log/auth.log | grep sudo
这会显示最近的sudo操作记录。
筛选关键sudo日志信息
为了快速定位有用信息，建议结合grep进行过滤：
- 查看某个用户的sudo操作：
grep "USER=username" /var/log/auth.log - 查找所有成功执行的sudo命令：
grep "COMMAND=" /var/log/auth.log - 查看被拒绝的sudo尝试：
grep "FAILED" /var/log/auth.log
日志条目通常包含时间戳、主机名、进程ID、执行用户、目标用户（如root）、执行的命令等信息，例如：
Jul 5 10:23:45 host sudo: alice : TTY=pts/0 ; PWD=/home/alice ; USER=root ; COMMAND=/bin/systemctl restart nginx
从这条记录可以看出，用户alice通过终端pts/0以root身份执行了重启nginx服务的命令。
启用详细sudo日志记录
若需更详细的审计能力，可配置sudoers文件增强日志输出：
- 编辑sudoers配置：
sudo visudo - 添加日志级别设置，例如：
Defaults logfile=/var/log/sudo.log
这会将所有sudo操作单独记录到指定文件。 - 开启命令参数记录：
Defaults log_input, log_output
这样可以记录输入输出内容（需配合tty_audit）。
注意：启用log_input/log_output后，sudo会在临时目录记录会话数据，需定期清理并注意隐私合规。
使用工具辅助分析
对于大规模或多主机环境，手动查看日志效率较低。可借助以下方式提升分析效率：
-
journalctl：在使用systemd的系统上，可通过
journalctl | grep sudo查看结构化日志。 -
awk/sed/grep组合：提取特定字段做统计，如统计各用户使用sudo次数：
grep "sudo:" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c - 集中日志系统：将sudo日志通过rsyslog或syslog-ng发送至SIEM平台（如ELK、Splunk），实现跨主机审计与告警。
基本上就这些。掌握sudo日志的位置、格式和分析方法，有助于及时发现越权行为或异常操作，是系统安全管理的重要一环。配置合理的日志保留策略和定期审查机制也很关键。
