标签：跳板机痕迹

问题一：从审计日志层面，如何判断是否存在使用跳板机（bastion host）的痕迹？ 判断是否使用跳板机，首要看集中式审计日志：包括主机认证日志（/var/log/auth.log、/var/log/secure）、SSH守护进程日志、Windows安全事件以及SIEM中汇总的登录事件。关注的关键要素有：来源IP与目标主机不匹配的登录链、短时