云平台操作审计的价值
云上操作几乎都通过控制台或 API 完成，平台自带的操作审计服务（如 ActionTrail、CloudAudit、CloudTrail 等）会把每一次调用记录下来，包括调用方、时间、来源 IP 与请求参数。它是云上唯一能完整回答「谁改了安全组」「谁删了日志桶」的数据来源，因此既要开通，也要防篡改：日志应投递到与业务隔离的账号或存储位置，并设置合规保留策略。
基本信息
| 适用平台 | 各公有云的审计服务，如 ActionTrail、CloudAudit、CloudTrail |
|---|---|
| 覆盖范围 | 主账号、子账号、RAM 角色与临时凭据的操作 |
| 投递目标 | 日志服务或对象存储，建议开启不可变或合规保留 |
| 留存要求 | 满足内部与法规期限，网络安全法要求不少于六个月 |
| 权限设计 | 审计日志的读取与删除权限分离，避免同账号可一并清除 |
典型使用场景
- 高危操作告警：改安全组、删日志桶、改权限实时提醒
- 变更溯源：定位某次配置变更的执行人与时间
- 多云归档：把多个账号与云厂商的日志统一到一处
- 等保配合：提供云上操作的集中审计记录
- 凭证治理：发现长期未使用或异常来源的凭据
落地动作
落地动作
1 开通操作审计并全账号启用（含子账号、RAM 角色与临时凭据）
2 投递：日志服务或对象存储，设置不可变或合规保留策略
3 留存：满足内部与法规期限（网安法下限为六个月）
4 告警：高危操作（改安全组、删日志桶、改权限）实时告警
5 权限：审计日志的读取与删除权限分离
6 归档：跨账号或跨云集中归档，防止随业务账号一并删除风险与做法
| 风险 | 做法 |
|---|---|
| 只开主账号 | 为全部子账号与角色启用审计 |
| 日志桶与业务同账号 | 投递到独立账号并开启保留策略 |
| 无人看日志 | 对高危操作设置实时告警与值班响应 |
| 字段口径不一 | 先统一字段再设计关联规则 |
多云或多账号场景建议统一到一处归档，并核对各云厂商日志字段差异后再做关联规则，否则跨云检索会因字段不一致而失效。