审计记录要素：三 W 一 H 的字段映射

审计记录应能回答"何时、何人、做了什么、结果如何"：落库字段与设备日志字段的映射关系应写入日志规范，避免采集后发现字段缺失。

要素映射

问题	通用字段	常见来源字段
何时	事件时间（含时区）	time_iso8601 / SystemTime
何人	主体标识	user / subjectUserName / uid
何地	来源地址	remote_addr / client_ip / IpAddress
做了什么	事件类型与客体	event / request / object
结果	成功与否	status / result / subjectLogonType

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌