适用场景

审计追溯的本质是回答四个问题：谁、在什么时候、做了什么、结果如何。任何一环缺失，追溯就会断链。

配置步骤（账号实名与权限留痕）

# Linux
last -i | head
whoami; id
# Windows
Get-EventLog Security -InstanceId 4624,4672 -Newest 20
# 关键：禁止共享账号，管理员操作用个人账号+提权

关键参数与建议

  • 账号实名：一人一账号，禁用共享账号；管理员账号单独审计
  • 时间统一：所有设备与系统同步 NTP，日志时间可比对
  • 日志集中：统一上送并防篡改（只写权限、异地备份）
  • 关键操作留痕：登录、权限变更、配置修改、数据导出
  • 可检索：按人/按时间/按对象能快速检索并导出

容易踩的坑

  • 多人共用 admin 账号，操作无法定位到人
  • 离职账号未清理，仍有活动记录
  • 提权操作无审批与记录

验证与巡检

last -i | head
  • 巡检：账号与在职人员一致、无共享账号

小结

审计体系的验收方式：随机给一个时间点，5 分钟内能查出这段时间谁做了哪些关键操作。做不到就是还没建好。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。