Паспорт sudo и назначения
Определите версию пакета, policy/audit plugin, способ входа пользователя и фактическое место регистрации: syslog, файл, journal или удалённый сервер. Описание основано на исходном коде ветки main. Профиль не обещает одинаковый маршрут на Альт, Astra и всех Linux. Запишите host, timezone, период, правила хранения и способ получения копии. Отсутствие journal не означает отсутствия sudo-журнала.
Формат сообщения
В accepted-command строке username обозначает вызвавшего sudo, USER — runas, PWD — рабочий каталог, COMMAND — команду с аргументами. TTY и TSID доступны не всегда; TSID связан с отдельно включённым I/O logging. Пример user-demo→root с id не является выводом команды. Syslog-префикс без года требует контекста времени, а не автоматического присвоения текущего года.
Читающий поиск
Пример journalctl применим только при доставке sudo в journal. Он читает учебный UTC-интервал по SYSLOG_IDENTIFIER=sudo; значения нужно заменить. Сохраняйте соседние записи, исходный текст и контекст загрузки. Этот идентификатор сообщения не подтверждает личность оператора. Для альтернативного файла используйте уже полученную копию и её маршрут, а не предполагайте универсальный /var/log/auth.log на любой системе.
Рабочая интерпретация
Разделяйте принятую команду, её фактический запуск и результат. Не называйте root человеком, выполнившим запрос: в примере это runas identity. Проверьте вызывавшего пользователя, терминал, рабочий каталог и ожидаемую задачу. Отсутствие аргументов в пересланной усечённой строке не доказывает их отсутствие. Совпадение времени с входом помогает проверке, но не заменяет прямую связь контекстов.
Следующая проверка
Сопоставьте событие с аутентификацией и процессным аудитом, когда они сохранились. При доступном TSID найдите соответствующий I/O log по одобренному маршруту; отсутствие I/O не восполняется описанием команды. Для последствий нужны отдельные записи объекта/приложения. Итог должен назвать submitter, runas, команду, источник и неизвестный результат, не приписывая операцию владельцу общей учётной записи без дополнительных сведений.
Отсутствие и пределы
Проверьте реальный destination, фильтры syslog/journal, время, права, ротацию и доставку. Возможно, искалось отклонённое выполнение с другой формой сообщения либо команда запускалась без sudo. Пустая выборка сама по себе не выбирает одну из версий. Настройки журналирования не изменяются; запрос владельцу должен указать пакет, источник, период и недостающее свидетельство.