登录日志能发现什么
登录日志记录成功登录、失败尝试、来源地址与时间点，是最容易产生也最容易被忽略的一类审计数据。设备侧的管理登录、堡垒机的运维记录、业务系统的账号登录放在一起对比，账号爆破、异常来源登录、长期闲置账号突然启用这些问题会自己浮出来。
基本信息
| 分析点 | 失败次数、异常来源、非工作时间、长期闲置账号 |
|---|---|
| 处置动作 | 告警、临时锁定、账号治理 |
| 分析频率 | 每周例行分析，重大事件后即时分析 |
| 数据来源 | 设备管理登录、堡垒机记录、业务系统登录日志 |
典型使用场景
- 某运维账号短时间大量失败，判断是否为爆破
- 非运维网段出现成功登录，排查账号外泄
- 长期未使用的账号突然活跃
- 离职人员账号清理后的复核
- 合规检查要求提供账号审计记录
异常模式识别
异常模式识别
# 同一账号短时大量失败 → 爆破，或口令过期后的脚本重试
# 非运维网段登录成功 → 账号外泄或违规接入
# 长期未用账号突然登录 → 重点关注，先核实使用人
# 同一来源尝试多个账号 → 撞库特征
# 集中出现在非工作时段 → 结合值班安排判断是否异常分析维度
| 维度 | 正常表现 | 异常表现 |
|---|---|---|
| 失败次数 | 偶发个位数 | 同一账号短时间内大量失败 |
| 来源地址 | 运维网段或固定出口 | 陌生网段、异地或境外地址 |
| 时间分布 | 工作时段 | 深夜、节假日集中登录 |
| 账号活跃度 | 与岗位职责相符 | 闲置账号突然活跃 |
登录日志要和堡垒机记录、NAT 映射结合才能还原运维操作链路：日志里的来源地址可能是转换后的地址。
只统计成功登录不看失败记录，爆破尝试会被整体忽略，直到某一次真的登进来才被发现。