要监控Linux SFTP活动，您可以采用以下方法：
auditd审计守护进程：auditd是Linux系统中的一个审计守护进程，可以用来记录系统中的各种活动。要使用auditd监控SFTP活动，请按照以下步骤操作：
a. 安装auditd（如果尚未安装）：
sudo apt-get install auditd audispd-plugins
b. 配置auditd以监控SFTP活动：
编辑/etc/audit/audit.rules文件，添加以下规则：
-a exit,always -F arch=b32 -S openat -S open -S close -S close_write -S write -k sftp
-a exit,always -F arch=b64 -S openat -S open -S close -S close_write -S write -k sftp
这些规则将监控SFTP相关的系统调用。
c. 重启auditd服务以应用更改：
sudo systemctl restart auditd
d. 查看SFTP活动日志：
sudo ausearch -k sftp
tcpdump捕获SFTP流量：tcpdump是一个命令行网络分析工具，可以用来捕获和分析网络流量。要使用tcpdump监控SFTP活动，请按照以下步骤操作：
a. 安装tcpdump（如果尚未安装）：
sudo apt-get install tcpdump
b. 使用tcpdump捕获SFTP流量：
sudo tcpdump -i any -s 0 -w sftp_traffic.pcap 'port 22'
这将捕获所有通过端口22（SFTP默认端口）的流量，并将其保存到名为sftp_traffic.pcap的文件中。您可以使用Wireshark等工具分析此文件。
sshd配置日志记录：编辑/etc/ssh/sshd_config文件，确保以下设置已启用：
Subsystem sftp /usr/lib/openssh/sftp-server
LogLevel VERBOSE
这将启用详细的SFTP日志记录。然后，重启sshd服务以应用更改：
sudo systemctl restart sshd
现在，SFTP活动将在系统日志中记录，您可以使用journalctl或grep命令查看这些日志：
sudo journalctl -u sshd
或者
grep 'sftp' /var/log/auth.log
这些方法可以帮助您监控Linux SFTP活动。请注意，根据您的需求和系统配置，您可能需要调整这些建议。