标签：auditd

1. 精华1：以最小权限与临时授权为前提，只有在必须场景允许root账号通过跳板机登录，同时保持全过程可审计。 2. 精华2：融合内核级审计(auditd)、系统日志(rsyslog/journald)与会话录制(tlog/sudosh)并统一接入SIEM，确保每次命令、文件变更都有证据链。 3. 精华3：构建基于风险的异常告警策略（如成功的ro