Bastion容器安全审计实战：使用sudoreplay回放与分析SSH会话日志-尧图网络科技

Bastion容器安全审计实战：使用sudoreplay回放与分析SSH会话日志

【免费下载链接】bastion🔒Secure Bastion implemented as Docker Container running Alpine Linux with Google Authenticator & DUO MFA support项目地址: https://gitcode.com/gh_mirrors/bast/bastion

Bastion容器作为基于Alpine Linux的Docker安全堡垒，集成了Google Authenticator和DUO MFA双重认证机制，为生产环境提供了严格的访问控制。本文将聚焦于如何利用sudoreplay工具对SSH会话日志进行审计与回放，帮助运维团队实现完整的操作追溯与安全合规检查。

图1：Bastion容器安全架构概览，支持MFA认证与会话审计功能

为什么需要SSH会话审计？

在生产环境中，堡垒机作为访问入口，记录所有操作会话是满足合规要求的关键环节。Bastion容器通过SSH审计功能（SSH_AUDIT_ENABLED=true）自动捕获用户的stdin、stdout和stderr流，所有会话数据存储于/var/log/sudo-io目录。此设计确保即使攻击者获取容器访问权限，也无法篡改已生成的审计日志（建议将日志目录挂载为只读或同步至远程存储）。

会话日志存储与保护机制

Bastion容器采用以下安全措施保护审计日志：

权限控制：审计日志存储于/var/log/sudo-io，仅root用户可访问，且禁止容器内root权限（防止日志篡改）
外部挂载：推荐通过-v /host/path:/var/log/sudo-io将日志持久化到主机或外部存储
异地备份：同步日志至S3等服务时建议启用版本控制，防止日志被意外删除

⚠️安全警告：不要授予容器内用户sudo权限，这将导致攻击者可能修改/var/log/sudo-io中的审计记录。

sudoreplay工具基础用法

sudoreplay是Bastion容器内置的会话回放工具，通过以下步骤即可开始审计：

1. 获取会话ID列表

# 列出所有可回放的会话 sudoreplay -l

2. 回放指定会话

# 回放ID为100的会话（按实际ID替换） sudoreplay 100

3. 高级回放选项

# 加速2倍回放，显示时间戳 sudoreplay -s 2 -t 100 # 仅显示命令输入（排除输出） sudoreplay -i 100

图2：启用Slack通知后，每次SSH登录都会生成审计记录触发通知，便于实时监控

实战场景：异常会话分析流程

当检测到可疑操作时，可按以下流程进行审计：

定位目标会话
通过Slack通知或/var/log/auth.log确定异常登录时间，使用sudoreplay -l按时间筛选会话ID：
```
sudoreplay -l | grep "Aug 09 14:23"
```
完整回放分析
使用-r参数保存会话内容到文件，便于后续分析：
```
sudoreplay -r /tmp/session.log 100
```
关键操作提取
结合grep命令查找敏感命令（如rm、sudo）：
```
cat /tmp/session.log | grep -E "rm|sudo|chmod"
```