如何编写开关机行为审计脚本

从入门到精通（完整指南）

目录导读

1. 为什么需要开关机审计脚本？

   

   • 企业合规与安全管理的痛点
   • 审计脚本的典型应用场景

2. 审计脚本的核心要素

   • 日志记录的关键字段
   • 事件类型与触发机制

3. 主流操作系统下的实现方案

   • Windows：使用组策略与PowerShell
   • Linux：结合systemd与shell脚本
   • macOS：通过launchd与日志钩子

4. 实战：编写一个跨平台基础审计脚本

   • 定义日志存储结构
   • 编写开机事件捕获模块
   • 编写关机/重启事件捕获模块
   • 异常关闭（崩溃）检测逻辑

5. 高级技巧：日志防篡改与远程集中管理

   • 日志签名与哈希校验
   • 使用syslog或Elasticsearch集中存储

6. 常见问题问答

   • Q1：如何防止用户手动禁用审计脚本？
   • Q2：审计日志文件过大怎么办？
   • Q3：如何处理虚拟机快照恢复导致的异常事件？

7. 总结与最佳实践建议

---

为什么需要开关机审计脚本？

场景痛点：

• 某公司服务器经常在凌晨异常重启，但系统原生日志未记录具体原因
• 合规要求（如ISO 27001）需保留至少180天的用户登录与系统启动记录
• 员工下班后未正常关机，导致第二天上班时电池耗尽或未保存的工作丢失

审计脚本的核心价值：

• 记录精确到秒的开机、关机、重启时间
• 标注触发方式（正常用户操作/计划任务/系统更新/崩溃重启）
• 捕获前后上下文（如关机前最后一个运行的程序、系统负载）

---

审计脚本的核心要素

字段名称	示例值	说明
时间戳	2025-03-21 08:30:15 UTC+8	精确到毫秒，使用ISO 8601格式
事件类型	STARTUP / SHUTDOWN / CRASH	需区分正常与异常
主机名/IP	SRV-WEB-01 / 10.0.0.5	多机环境必备
触发用户	SYSTEM / root / johndoe	如果是自动更新，应记录为SYSTEM
系统运行时长	3天6小时22分	开机到关机/崩溃的时间差
额外负载信息	CPU 15%, 内存2.5GB/8GB	帮助排查异常关机原因

触发机制设计：

• 正常关机：通过系统服务或计划任务捕捉shutdown命令执行
• 强制重启：检测到reboot --force或电源键长按
• 崩溃重启：利用watchdog或日志中last命令检查异常退出码

---

主流操作系统下的实现方案

Windows：使用组策略与PowerShell

原理：通过组策略的“计算机启动/关机脚本”或Windows事件订阅（Event Trigger）
示例脚本（保存为AuditShutdown.ps1）：

$logPath = "\\audit-server\logs\$(hostname)_audit.csv"
$event = @{
    Timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
    Type = if($MyInvocation.MyCommand.Name -match "shutdown"){"SHUTDOWN"}else{"STARTUP"}
    User = [System.Security.Principal.WindowsIdentity]::GetCurrent().Name
    BootTime = (Get-CimInstance Win32_OperatingSystem).LastBootUpTime
}
$event | Export-Csv -Append $logPath -NoTypeInformation

Linux：结合systemd与shell脚本

推荐方式：使用systemd单元的ExecStartPre/ExecStop钩子 + journalctl日志
示例脚本（/usr/local/bin/audit_boot.sh）：

#!/bin/bash
LOG_FILE="/var/log/audit/boot_shutdown.csv"
echo "$(date +%F_%T), $(hostname), STARTUP, $(who -b | awk '{print $3,$4}')" >> $LOG_FILE

systemd服务定义 (/etc/systemd/system/audit-startup.service)：

[Unit]
Description=Audit Boot Event
After=network.target
[Service]
Type=oneshot
ExecStart=/usr/local/bin/audit_boot.sh
RemainAfterExit=yes
[Install]
WantedBy=multi-user.target

macOS：通过launchd与日志钩子

使用launchd.plist监听com.apple.CrashReporter或自定义LaunchDaemon
核心命令：log show --predicate 'eventMessage contains "shutdown"' --last 5m

---

实战：编写一个跨平台基础审计脚本（Python版）

定义日志存储结构

# audit_event.py
import datetime, socket, platform, json
LOG_DIR = "/var/log/audit"  # Windows可改为 C:\ProgramData\Audit
LOG_FILE = f"{LOG_DIR}/events.json"

捕获开机事件

利用at或anacron在启动时运行：

def record_startup():
    event = {
        "timestamp": datetime.datetime.now().isoformat(),
        "hostname": socket.gethostname(),
        "type": "STARTUP",
        "os": platform.platform(),
        "boot_time": datetime.datetime.fromtimestamp(psutil.boot_time()).isoformat()
    }
    append_log(event)

捕获关机/重启

通过信号捕获或注册系统回调：

import signal, sys
def shutdown_handler(signum, frame):
    event = {
        "timestamp": datetime.datetime.now().isoformat(),
        "type": "SHUTDOWN",
        "signal": signum
    }
    append_log(event)
    sys.exit(0)
signal.signal(signal.SIGTERM, shutdown_handler)  # 捕获关机信号

异常关闭检测

在下次启动时检查上次关机记录：

def detect_crash():
    last_event = read_last_event()
    expected_normal = last_event.get("type") == "SHUTDOWN"
    if not expected_normal:
        record_crash_event(last_event)  # 记录为CRASH

---

高级技巧：日志防篡改与远程集中管理

防篡改措施：

• 使用HMAC-SHA256对每条日志生成签名，密钥存储在HSM或安全环境变量
• 日志文件权限设为440，属主为root，且禁用chattr解除

集中管理：

• 配置rsyslog或syslog-ng将审计事件转发至Graylog或ELK
• 示例：在/etc/rsyslog.d/audit.conf添加

  local0.* @@logserver.example:514

注意：如果文中出现域名，请将logserver.example替换为实际内部域名或IP

---

常见问题问答

Q1：如何防止用户手动禁用审计脚本？

A：

• Windows：将脚本注册为“系统服务”而非任务计划，服务恢复策略设为“失败重启”
• Linux：使用systemd的Service类型notify，且Restart=always
• 通用：监控进程运行状态，如ps aux | grep audit_agent并触发警报

Q2：审计日志文件过大怎么办？

A：

• 实施日志轮转（logrotate daily，保留30天）
• 压缩旧日志为.gz格式
• 如果日志包含冗余信息（如每10秒的心跳），可过滤为仅记录事件变化

Q3：如何处理虚拟机快照恢复导致的异常事件？

A：

• 在脚本中加入vm UUID检测（通过dmidecode -s system-uuid）
• 若boot_time比上次记录早，说明是从快照恢复，标记为VM_SNAPSHOT_RESTORE
• 此情况通常不应触发CRASH告警，需单独分组处理

---

总结与最佳实践建议

编写开关机行为审计脚本的核心是三点：

1. 可靠触发：必须使用操作系统级回调或守护进程，避免被普通用户暂停
2. 精确上下文：记录系统负载、用户登录状态、关机前启动的进程列表
3. 安全存储：日志需加密传输、防篡改，并定期备份到外置介质

推荐工具组合：

• 小型环境：Shell/Python脚本 + syslog + 云存储（如S3）
• 中大型环境：使用商业审计工具（如Splunk Universal Forwarder）或开源方案（Osquery + Fleet）
• 合规强制：结合AD/LDAP审计策略，将开关机日志与用户行为关联

建议先在小范围测试环境中部署，验证日志准确性和系统性能影响（通常CPU占用<0.5%），再逐步推广到生产环境，任何审计脚本最终都需要配合定期的人工审核日志才能发挥真正效果,自动告警只是第一步。