权限变更日志查询方法

权限变更的痕迹不会自动出现在系统默认日志里，必须专门配置审计策略，把用户、组、sudo、ACL、云IAM的策略变更事件全部纳入采集范围，否则安全审计和攻击溯源都会断链，为什么权限变更痕迹总被日志采集遗漏？系统日志不等于权限审计日志你可能会想,系统日志里不是有“useradd”“usermod”吗？确实有，但信息……