如何无需手动添加time前缀自动记录Bash Shell用户所有执行命令的耗时

该组织级监控需求完全可实现，全程无需用户手动在命令前添加time前缀，基于Linux、Bash原生能力即可覆盖所有用户操作命令采集、逐命令执行耗时统计、跨机器审计的要求。

核心实现方案对比 #

1. 轻量原生方案：Bash陷阱全局配置 #

• 实现原理：通过Bash内置的trap钩子机制，在命令执行前、执行完成两个节点自动埋点，无感知完成全量采集
• 全局生效配置逻辑（需写入系统级配置文件/etc/bash.bashrc，对所有登录用户强制生效，不依赖用户个人目录的自定义配置）：
  • 命令执行触发阶段：捕获当前执行的命令内容、执行开始的时间戳、用户UID、来源登录IP、当前工作目录，存入内存临时变量
  • 命令执行完成阶段：获取当前系统时间戳，计算与开始时间的差值得到命令执行耗时，结合命令退出码，按结构化格式追加写入受权限保护的审计日志文件
• 防绕过加固：
  • 锁定全局配置文件权限，禁止普通用户修改、删除
  • 禁用Bash历史记录的绕过开关，比如强制设置HISTFILE路径为受保护的系统日志路径，拦截unset HISTFILE、export HISTFILE=/dev/null这类规避记录的操作
  • 审计日志目录设置为仅root可写入、普通用户无读取/修改/删除权限，避免用户篡改操作记录
• 采集字段可按需自定义：操作时间、登录用户、来源IP、终端PID、完整命令内容、执行耗时（毫秒级精度）、命令退出码、执行时的工作目录

2. 企业级高可靠方案：auditd系统审计框架 #

• 适配对防绕过、集中采集有高要求的组织场景：
  • 配置auditd规则监控所有execve系统调用，直接从内核层捕获所有用户执行的命令，不受用户修改Bash启动配置、切换Shell的影响
  • 基于进程生命周期跟踪，自动统计每个命令进程从启动到退出的实际墙钟耗时、CPU占用耗时，无需依赖用户侧的Shell配置
  • 所有审计日志默认写入系统保护的审计分区，通过内置采集能力同步到中心审计平台，支持跨机器的命令检索、耗时聚合统计

落地注意事项 #

• 耗时统计需明确统计口径：如果需要匹配用户实际操作感知，优先采集从用户输入回车到命令返回Shell提示符的墙钟时间；如果需要统计命令实际资源消耗，可同时采集CPU占用时间
• 需配置日志轮转规则，避免长期全量记录的操作日志撑满磁盘空间
• 覆盖非交互式Shell场景，避免漏记录用户通过后台脚本、远程非交互会话执行的命令
• 严格遵循合规要求，对敏感操作的日志做权限隔离，避免未授权访问审计记录

内容的提问来源于stack exchange，提问作者Srikanthsivasai Gudavalli