Linux 用户权限分配审计报告生成技巧

真正有用的Linux权限审计报告聚焦四类高风险项：禁用shell却有有效密码的账户、SUID/SGID异常文件、sudoers宽泛授权、90天未登录活跃账户；每项均附明确处置动作、风险等级标签（红/黄/绿）及合规日志溯源，支持自动化执行与闭环验证。

生成一份真正有用的 Linux 用户权限分配审计报告，关键不在堆砌数据，而在让运维和安全人员一眼看清“谁越权了、哪里该改、下一步做什么”。它不是日志汇总，而是风险决策依据。

聚焦四类高风险项，不查全量

别用 find 全盘扫描再人工筛，直接锁定最可能出事的点：

• 禁用 shell 却有有效密码的账户：用 awk -F: '$7 ~ /(nologin|false)$/ && $2 != "*" && $2 != "!" {print $1}' /etc/passwd /etc/shadow 2>/dev/null 一键抓出
• SUID/SGID 异常文件：重点看属主是普通用户却带 SUID 的可执行文件，命令为 find / -type f ( -perm -4000 -o -perm -2000 ) -exec stat -c "%U %a %n" {} ; 2>/dev/null | grep -v "root 4755|root 2755"
• sudoers 中的宽泛授权：提取含 NOPASSWD: ALL、ALL=(ALL) 或未限定路径的规则，用 grep -v "^#" /etc/sudoers | grep -E "(NOPASSWD|ALL=.*ALL|ALL=(.*) /bin/.*|ALL=(.*) /usr/bin/.**|ALL=(.*) /)"
• 90 天未登录的活跃账户：排除 UID<1000 的系统账号，命令为 lastlog -b 90 | awk '$3 != "Never" && $1 != "Username" && $2 > 1000 {print $1}'

报告内容必须带处置动作

每条发现不能只写“user_x 权限异常”，要明确告诉人怎么处理：

• 发现 backup_user 属于 docker 组 → 报告中直接写：执行 gpasswd -d backup_user docker
• 发现 /usr/local/bin/deploy.sh 是 SUID 且属 dev1 → 写：运行 chmod u-s /usr/local/bin/deploy.sh && chown root:root /usr/local/bin/deploy.sh
• 发现 testadmin 账户 shell 为 /bin/bash 但密码未锁定 → 写：执行 passwd -l testadmin 并确认 /etc/shadow 第二字段为 !

风险等级用颜色或标签标清：红色（立即执行）、黄色（3个工作日内复核）、绿色（已闭环）。

嵌入日常节奏，避免报告变废纸

审计报告只有被持续使用才有价值：

• 用 cron 每日凌晨 2 点自动执行，结果邮件发给运维+安全接口人，标题含日期和风险总数，如 [权限审计][2026-07-08] 高风险项：2｜中风险项：5
• 脚本本身存 Git，每次修改提交信息写明原因，例如：“新增检测 SSH 密钥过期时间，适配新基线要求”
• 每月初抽检 10% 的告警项，验证是否真需处置；若某项确属业务必需（如监控脚本需 SUID），加入白名单并备注批准人与有效期

合规字段不能靠拼凑

等保或 ISO27001 要求的字段（操作人、时间、目标、动作、结果）必须从源头捕获：

• sudo 行为：启用 Defaults logfile="/var/log/sudo.log", log_input, log_output, loglinelen=0，确保记录命令、输入、输出、退出码
• 敏感文件访问：用 auditd 监控 /etc/passwd、/etc/shadow、/etc/sudoers，规则示例：-w /etc/sudoers -p wa -k sudoers_mod
• 所有日志统一打上主机名、时间戳、事件类型标签，方便 SIEM 平台归集，不依赖事后人工补字段