| 核查 | 登录审计、命令记录、告警联动 |
|---|---|
| 对象 | 域管、root、DBA、网络管理员 |
| 输出 | 覆盖矩阵与缺口清单 |
核查要点
核查要点
特权账号清单与人员映射
各系统的命令/操作审计开启状态
审计日志的保护（防篡改）与留存期
异常行为告警规则与处置流程审计缺口的修复优先级高：无审计的特权操作等于不可追溯。
特权会话审计检查
特权会话（域管、root、数据库管理员）的审计覆盖：登录记录、命令/操作日志与告警联动是否完整。
易错点
- 审计日志与业务日志同机存放，被攻击后同毁
- 留存期不足，调查时无数据
数据来源与参考
- NIST SP 800-92（日志管理）
- CIS Controls（审计日志）