Linux用户身份切换（Su）日志监控与审计，如何实现全面高效的长尾词分析？

本文共计782个文字，预计阅读时间需要4分钟。

在Linux系统中，`su`命令的每一次执行都应被记录和审查，因为它是权限提升的关键入口。默认情况下，su操作不会自动写入系统通用日志（如syslog），而是记录在专门的日志文件中。例如，在RHEL/CentOS中，日志位于`/var/log/sulog`，而在Ubuntu/Debian中则位于`/var/log/auth.log`。

是否启用、如何定位和分析这些日志，以及它们如何构成安全运维的基础操作，是系统管理员需要掌握的技能。