怎么利用自动化脚本周期性对系统权限空间进行合规复核

周期性权限合规复核的核心是将“查权限”变为可追踪、有节奏、能闭环的日常动作，聚焦四类高风险场景（人员变动、临时权限、长期闲置、高危组成员），按风险分层设定复核频率，用脚本固化逻辑并输出明确处置建议，嵌入日常运维节奏。

周期性对系统权限空间做合规复核，核心是把“查权限”变成可追踪、有节奏、能闭环的日常动作，而不是临时突击检查。重点不在查得多全，而在查得准、改得稳、留痕清。

聚焦真正该复核的权限点

别一上来就扫全量用户或所有文件，优先盯住四类高风险场景：

• 人员变动：HR系统同步离职/转岗后24小时内，自动清理对应账号及所属组（如wheel、docker）
• 临时权限：sudo或SSH密钥标注为“故障支持”的，超72小时未续期即告警并标记失效
• 长期闲置：某账户连续30天无登录、近7天无sudo操作，自动归类为“疑似闲置”，进入复核队列
• 高危组成员：wheel、sudo、adm等组每季度比对一次，输出差异清单（新增/遗漏/在职状态不符）

按风险等级设定不同复核频率

不是所有权限都值得每月查一遍。分层安排更可持续：

• 超级管理员（root、sudoers中ALL规则）：每月人工抽检 + 日志回溯（su/sudo执行链+命令关键词）
• sudoers配置项：每日用脚本扫描（visudo -c + grep ALL/NOPASSWD/无路径限定）
• 普通用户账户：每季度批量检查 lastlog -b 90、/etc/passwd shell类型、/etc/shadow密码字段状态
• SSH密钥与API Token：纳入Git管理的密钥清单，每60天强制轮换并验证是否仍在使用

用脚本固化逻辑，输出明确处置建议

复核结果不能只写“发现3个问题”，要直接告诉运维下一步做什么：

• 检测到 user_test 账户 shell 为 /bin/false 但 shadow 中有有效密码 → 自动建议：passwd -l user_test
• 发现 /usr/local/bin/backup.sh 被设为 SUID 且属主为普通用户 → 标记红色风险，提示确认业务必要性，否则执行 chmod u-s
• 某 sudo 规则允许 NOPASSWD: /bin/rm → 黄色预警，建议替换为带参数白名单的专用脚本
• 每次运行自动记录时间戳、变更前状态、执行人，存入统一审计日志目录（如 /var/log/perm-audit/）

嵌入日常节奏，避免额外负担

让复核成为顺手做的事，而不是另起炉灶：

• 每天凌晨2:15用 cron 执行轻量检查（find + awk + lastlog 组合），结果邮件推送给运维和安全接口人
• 每月第一个工作日，值班工程师抽检10%告警项，验证脚本准确性，并更新白名单（如某业务账户确需SUID，加注释说明）
• 所有脚本托管在内部Git仓库，每次修改附带注释（例如：“新增检测SSH密钥创建时间超90天”）