特权会话要审计到什么程度
特权账号的操作一旦无法追溯，事后调查就只能靠猜。审计核查要覆盖四个面：谁能用特权账号登录、登录行为是否记录、操作过程是否留痕、异常是否触发告警。对象包括域管、服务器 root、数据库管理员与网络设备管理员，每一类系统的记录能力与留存方式都不同，最终输出应是覆盖矩阵加缺口清单。
基本信息
| 核查对象 | 域管、root、数据库管理员、网络与安全设备管理员 |
|---|---|
| 审计内容 | 登录记录、命令或操作日志、告警联动 |
| 日志保护 | 防篡改措施与集中存放，避免与业务日志同机 |
| 留存要求 | 留存期与检索能力满足调查需求 |
| 输出 | 覆盖矩阵与缺口清单，附处置优先级 |
典型使用场景
- 事故调查准备：确认关键系统的操作能否被还原
- 合规核查：为审计日志相关要求提供现状证据
- 特权账号治理：配合账号清理核对其使用是否可追溯
- 变更评估：上线新系统时核对审计能力是否齐备
- 告警有效性检查：确认异常特权行为真的会被发现
核查要点
核查要点
特权账号清单与责任人映射是否完整
各系统的命令或操作审计开关是否开启并生效
审计日志的保护方式：集中转发、防篡改与独立存放
留存期是否满足调查与合规要求
异常行为的告警规则与处置流程是否经过演练审计覆盖矩阵
| 对象 | 应记录内容 | 常见缺口 |
|---|---|---|
| 域控与身份系统 | 登录来源、特权组变更 | 变更类事件未纳入告警 |
| Linux 服务器 | 登录与提权命令 | 命令审计未开启或本地留存 |
| 数据库 | 管理账号登录与高危操作 | 只记录连接不记录语句 |
| 网络设备 | 登录与配置变更 | 日志本地留存，未集中转发 |
| 日志平台 | 集中存储与检索 | 与业务日志混放，同毁风险高 |
审计缺口的修复优先级通常高于单个漏洞：没有审计的特权操作等于不可追溯，一旦出事连范围都无法界定。
审计日志与业务日志同机存放，被攻击后可被一并清除：集中转发到独立平台并做防篡改是基础要求。