堡垒机与跳板检查
运维通道的集中管理程度直接决定审计能力：如果所有运维访问都必须经过堡垒机，就有统一的登录记录、命令审计与会话录制；反之，只要网络层仍放行直连，审计就形同虚设。检查的内容包括覆盖范围（是否所有运维访问都经堡垒机）、绕过通道（直连服务器、独立登录网络设备与数据库的路径）、以及会话录制与命令审计的完整性。堡垒机自身同样要评估：账号、授权与审计策略需要单独核查。
基本信息
| 核查内容 | 覆盖范围、绕过通道、会话录制与命令审计完整性 |
|---|---|
| 主要风险 | 存在直连通道，审计记录残缺，事后无法追溯 |
| 处置方向 | 关闭直连来源，定期核查例外并收敛 |
| 附加对象 | 堡垒机自身的账号、授权与审计策略 |
典型使用场景
- 服务器运维：是否全部经堡垒机登录，还是可直连
- 网络设备管理：设备的独立登录通道常绕开堡垒机
- 数据库运维：直连数据库的行为是否被审计覆盖
- 第三方维护：外部人员接入是否同样受统一管控
- 应急通道：故障期间开通的直连路径是否已回收
检查要点
检查要点
1. 统计经堡垒机与直连目标系统的访问来源
2. 在网络层核查是否存在旁路通道 # 只看工具不查网络会漏掉直连
3. 抽样核对会话录制与命令审计的完整性
4. 核查例外清单的有效期与责任人
5. 输出：例外清单与收敛计划，含收敛时间点检查项与期望
| 检查项 | 期望表现 | 常见问题 |
|---|---|---|
| 覆盖范围 | 运维访问全部经过统一通道 | 部分管理员直连服务器 |
| 网络层控制 | 仅堡垒机可达目标端口 | 直连端口仍对办公网放行 |
| 会话审计 | 录制完整且可检索 | 只记录登录，无命令级审计 |
| 例外管理 | 有期限、有责任人 | 临时例外长期存在 |
堡垒机自身被突破等于所有运维通道失守：它的账号体系、双因素与审计策略要按高价值系统对待。