审计要能定位到人
管理员操作审计记录的是「谁在什么时间对哪台设备做了什么」，包括登录、配置变更、重启与导出配置等动作。它的价值在两类场景中体现：出现配置事故时能还原变更过程，以及权限滥用时能界定责任人。前提有两个——账号实名，以及日志必须外发集中存储。
基本信息
| 记录内容 | 登录、配置变更、重启、配置导出与关键操作 |
|---|---|
| 基本要求 | 账号实名、操作可回溯、时间准确 |
| 存储要求 | 外发到集中平台，设备本地日志权限受限 |
| 审计要素 | 时间、账号、来源地址、操作类型、操作对象、结果 |
典型使用场景
- 配置事故复盘：某次变更后业务异常，用日志定位是谁改了什么
- 权限审计：检查是否存在越权操作或异常时间点的登录
- 离职与交接：确认账号处置是否彻底，是否仍有登录记录
- 合规检查：等级保护要求对重要操作进行审计并保留记录
- 事件关联分析：把设备操作日志与安全告警时间线对齐，还原完整过程
审计要素示例
审计要素示例
时间 / 账号 / 来源地址 / 操作类型 / 操作对象 / 结果
示例：2026-10-12 10:00 张三 10.10.10.5 修改安全策略 成功
配套要求：
- 设备时间与全网 NTP 同步，否则跨设备时间线对不上
- 日志外发集中存储，本地保留权限受限
- 共享账号立即整改为实名账号审计有效性检查
| 检查项 | 期望结果 | 失效表现 |
|---|---|---|
| 账号实名 | 一人一账号 | 多人共用，无法定位到人 |
| 时间同步 | 与全网时间一致 | 与其他日志无法对齐 |
| 外发存储 | 日志已到集中平台 | 本地可被管理员删除 |
| 关键操作覆盖 | 变更与导出均有记录 | 部分动作不记录，形成盲区 |
共享账号会让操作审计彻底失去意义：日志上只能看到一个通用账号，出问题时谁都不认账，实名账号是审计成立的前提。