账号滥用溯源要点是什么
账号层的证据最可行动：登录时间、来源 IP 或主机、认证方式（口令、公钥、令牌、票据）、权限变更、以及同一凭据在哪些系统被使用。异常模式往往直接指向滥用。难点在于共享账号与服务账号会让「身份」失真，必须结合来源与操作内容交叉判断。
基本信息
| 用途 | 从账号行为定位滥用、界定凭据暴露面 |
|---|---|
| 关键字段 | 时间、来源、认证方式、结果、权限变更 |
| 对照基线 | 按账号类型分别建立（人员/服务/共享/管理员） |
| 输出 | 异常账号清单 + 凭据暴露面清单 |
典型使用场景
- 爆破得手排查：查看成功登录之前是否存在密集失败序列
- 横向移动排查：同一账号短时间内出现在多台主机
- 服务账号异常：服务账号出现交互式登录或来源突然跳变
- 提权排查：账号被加入特权组，或 sudoers、本地管理员组发生变更
- 离职与外包账号未清理：长期静默访问的真实案例
Linux 侧账号核查
Linux 侧账号核查
grep 'Accepted' /var/log/secure | awk '{print $(NF-3),$9}' | sort | uniq -c # 成功登录来源分布
grep -c 'Failed password' /var/log/secure # 失败量级：成功前是否密集失败
last -ai | head -40 # 最近登录、来源主机与时长
lastb | head -20 # 失败尝试
getent group wheel; getent group sudo # 特权组成员变化
# Windows 侧对应 4624 登录成功、4625 失败、4720 建号、4728 加入特权组登录类型与关注点
| 登录类型 | 含义 | 溯源关注点 |
|---|---|---|
| 交互登录 | 本地或远程控制台 | 非工作时段、非常用来源 |
| 网络登录 | 文件共享、SMB 访问 | 横向移动的常见载体 |
| 服务与批处理 | 服务启动、计划任务 | 服务账号出现交互登录即为异常 |
| 远程交互 | RDP 图形化远程 | 来源 IP 与是否经跳板机 |
共享账号（root、admin、值班账号）无法只靠日志区分使用者，需要来源主机、跳板机记录、变更单与操作内容四方对照才能落到具体人。
认证成功不等于行为合法。登录之后做了什么才是关键：批量查询、权限变更、数据导出这些动作才是滥用的实质证据。