提权与横向移动的日志线索

溯源分析聚焦提权与横向移动痕迹：Linux 侧 sudo/su 与 cron 变更，Windows 侧显式凭据与远程会话事件，结合来源 IP 做关联。

线索方向

平台	日志与字段
Linux	sudo/su 记录、cron 与 systemd 单元变更、SSH 密钥新增
Windows	4648 显式凭据登录、4672 特权分配、4624 类型 10（RDP）、7045 服务安装
网络	内网横向端口扫描与异常 SMB/RDP 会话

grep -E "sudo|su:" /var/log/secure | tail -30
grep -Ri "cron" /etc/cron* | head -20
systemctl list-timers --all | head

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌