堡垒机日志能证明什么
堡垒机（跳板机/运维审计系统）位于运维通道的必经路径上，因此能提供三类相互印证的数据：会话清单（谁在何时用哪个账号登录了哪台资产、来源地址是什么）、命令记录（会话中执行的命令文本）、录像文件（会话过程的可视化回放）。把账号、资产、时段与命令串起来，就能回答“谁在什么机器上做了什么”。需要注意的是，命令记录依赖终端解析，交互式编辑器、图形界面与大量粘贴内容可能记录不全，此时录像与资产侧日志就是必要的补充。
基本信息
| 适用平台 | 各类运维审计系统（含自建跳板机 + 命令审计方案） |
|---|---|
| 产出数据 | 会话清单、命令记录、录像索引与文件 |
| 关键字段 | 操作者账号、来源 IP、目标资产、开始与结束时间、命令文本、会话 ID |
| 检索入口 | 审计系统的会话查询页与导出功能；导出文件需登记哈希 |
| 留存限制 | 录像与命令记录通常有保留周期，超期自动清理 |
典型使用场景
- 确认事件窗口内哪些资产被运维账号访问过，收窄受影响范围
- 还原高危命令的完整上下文：谁执行、在哪台机器、前后做了什么
- 核对运维操作与变更单是否一致，发现未授权的运维通道使用
- 为资产侧日志补齐“命令由谁发起”，解决服务账号执行导致的归因困难
- 在处置前将关键会话的记录与录像导出留证
核查顺序
核查顺序
# 1) 按账号拉会话清单（时间 / 资产 / 来源 IP）
# 2) 命中时段后导出命令记录，注意导出时间范围要与案件窗口一致
# 3) 关键会话回看录像留证，同时记录会话 ID
# 4) 与资产侧日志双向核对（认证日志、命令历史、审计记录）
# 5) 导出产物统一命名与登记哈希：案例号-会话ID-导出时间数据可用性对照
| 数据 | 能回答的问题 | 局限 |
|---|---|---|
| 会话清单 | 谁在何时登录了哪台资产 | 不含具体操作内容，需命令记录补充 |
| 命令记录 | 会话中执行了哪些命令 | 交互式编辑、图形界面与粘贴内容可能不完整 |
| 录像文件 | 操作过程的直观呈现 | 体量大，保留周期有限，检索效率低 |
| 来源地址 | 接入的客户端地址 | 经多层跳转时记录的是上一层地址 |
命令记录可导出为文本证据，录像作为过程佐证；两者在报告里要区分证明力，录像用于说明过程，命令文本用于精确引用。
录像与命令记录的留存周期通常有限，处置期间的重启、清理与容量回收都可能提前删除。发现关键会话后应立即导出并登记哈希。
命令经跳板转发时，资产侧日志与堡垒机记录要双向核对：一侧缺失时另一侧可以补位，两侧矛盾时优先以资产侧内核或审计层面记录为准。