linux下通过堡垒机实现运维操作实时审计，需统一入口、权限分离、协议捕获与日志归档：强制所有ssh经堡垒机代理；禁直连、配资产与特权账号；关root及密码登录；人员独立账号+mfa+最小授权；开启字符会话、敏感指令拦截、剪切板及文件传输审计；日志对接sls，存储≥180天并支持快速检索。
在Linux环境下，通过Bastion堡垒机实现多运维人员操作行为的实时审计，核心在于“统一入口 + 权限分离 + 协议捕获 + 日志归档”。不是靠服务器本地日志，而是依赖堡垒机作为中间网关，强制所有SSH访问经由其代理并全程记录。以下关键环节需逐一落实：
确保所有运维流量经过堡垒机
这是审计的前提。禁止运维人员直连Linux服务器（如跳过堡垒机用SSH直接连ECS）。
- 将目标Linux资产添加到堡垒机资产列表中，填写IP、端口、操作系统类型等信息
- 为每台资产配置一个“特权账号”（例如
admin_linux），该账号需具备登录目标主机的权限（通常通过SSH密钥对认证） - 关闭目标主机上的root远程登录（
PermitRootLogin no）及密码登录（PasswordAuthentication no），仅保留堡垒机推送的密钥访问通道 - 运维人员只能通过堡垒机Web门户或支持SFTP/SSH隧道的客户端（如Xshell配置代理）连接，真实会话始终由堡垒机中转
为不同人员分配独立账号与最小权限
避免多人共用同一堡垒机账号，否则无法区分操作主体。
- 在堡垒机用户管理中，为每位运维人员创建唯一账号（如
zhangsan、lisi），绑定实名信息和手机号 - 按角色建立用户组（如“DBA组”“应用运维组”），再通过“资产授权”功能，只授予其访问必要主机和账号的权限
- 启用双因素认证（MFA），防止账号盗用导致审计断链
- 禁用共享账号——即使临时协同，也应使用“会话协同”功能，而非共用凭证
开启字符会话审计与敏感指令拦截
SSH类操作的审计粒度取决于协议解析能力，需确认堡垒机版本支持完整命令级记录。
- 登录堡垒机控制台 → 操作审计 → 会话记录 → 切换至“字符会话”Tab，确认可查看每条会话的
操作命令字段（非仅登录/登出事件） - 配置“命令过滤策略”：针对
rm -rf、chmod 777、dd if=、mkfs等高危指令，设置正则匹配规则（如rm\s+-rf）并指定响应动作（建议首次启用设为“指令提醒”，逐步过渡到“指令审核”） - 启用剪切板审计和文件传输审计（SCP/SFTP），确保复制粘贴敏感内容、上传脚本等行为也被捕获
日志集中归档与快速检索
本地存储易丢失且难分析，必须对接日志服务实现长期留存与联动告警。
- 在日志服务SLS中开通Logstore，配置堡垒机操作日志转存，存储周期建议不低于180天（满足等保2.0要求）
- 关键字段如
user_name、resource_address、content（含执行命令）、result（执行结果）、session_id需完整落库 - 在SLS中创建查询语句，例如：
* | select user_name, resource_address, content, result where content like '%rm -rf%' and __time__ > ago(7d)，实现分钟级风险定位 - 结合威胁情报字段
threat_user_client_ip，自动标记来自高风险IP的操作
